Réforme d’Europol : la Commission propose d’étendre les pouvoirs de l’agence sans renforcer les garanties procédurales

La Commission européenne a présenté, le 24 juin 2026, une proposition de règlement relatif à l’Agence de l’Union européenne pour la coopération des services répressifs (Europol)[1].

Le texte abrogerait le règlement (UE) 2016/794 du 11 mai 2016 (« règlement Europol »), qui régit aujourd’hui l’agence, pour lui substituer un nouveau cadre juridique[2].

Europol est le pôle de l’Union européenne en matière de coopération entre les services répressifs. Elle contribue à la mise en commun des informations, des expertises et des enquêtes entre États membres.

L’agence offre ainsi aux États membres d’avoir accès à une vision globale des menaces actuelles[3].

Les nouvelles mesures proposées ont pour objectif de renforcer la réponse de l’Union européenne face à l’évolution des menaces criminelles transfrontalières[4]. La Commission constate en effet que « l’Union européenne (UE) doit faire face à une profonde transformation de son environnement de sécurité, à mesure que les formes de terrorisme et de grande criminalité organisée deviennent davantage transnationales, avancées sur le plan technologique et interconnectées »[5].

Le projet s’articule autour de plusieurs axes : un partage automatisé et plus rapide des informations, un soutien opérationnel renforcé aux États membres, un pôle technologique et d’innovation, ainsi qu’une coopération renforcée avec les agences et organes de l’Union européenne et les pays tiers[6].

En particulier, l’article 32 de la proposition, intitulé « Finalités des activités de traitement d’informations », qui remplacerait l’actuel article 18 du règlement Europol, étendrait considérablement les pouvoirs de l’agence. L’extension jouerait à deux niveaux : les finalités du traitement d’une part ; les personnes concernées et les catégories de données susceptibles d’être traitées, d’autre part.

D’abord, alors qu’à ce jour les recoupements de données ne peuvent porter que sur des informations relatives à des personnes déterminées (les suspects, les condamnés et les personnes dont les autorités compétentes ont des raisons sérieuses de croire qu’elles commettraient une infraction)[7], l’article 32 viserait les informations « relatives à une infraction pénale », sans référence à aucune catégorie de personnes[8]. Le recoupement ne serait plus rattaché à une personne soupçonnée, mais à une infraction.

Ensuite, le règlement Europol actuellement en vigueur fixe, en son annexe II[9], une liste fermée des catégories de données à caractère personnel et des catégories de personnes concernées dont les données peuvent être collectées et traitées pour chacune des finalités prévues par le règlement. Le traitement de données extérieures à ces catégories demeure l’exception. Ce n’est que dans des cas strictement encadrés qu’il est possible de traiter des données à caractère personnel hors annexe II[10]. L’article 18 bis le prévoit notamment « lorsque cela est nécessaire pour soutenir une enquête pénale spécifique en cours qui relève des objectifs d’Europol », à la demande d’un État membre, du Parquet européen ou d’Eurojust, et lorsqu’Europol ne peut procéder autrement.

L’article 32 renverserait cette logique. Europol pourrait traiter des données hors annexe II pour l’ensemble des finalités prévues au paragraphe 2 de cet article, dès lors que ce traitement serait « pertinent et nécessaire »[11] et « proportionné ». Aucun de ces critères n’est défini. Le texte ne subordonne plus ce traitement ni à la demande d’une autorité nationale, ni au soutien d’une enquête déterminée. Faute de définition, l’appréciation de ce qui est « pertinent », « nécessaire », ou « proportionné » reviendrait à l’agence elle-même. Le traitement de données hors annexe II, aujourd’hui dérogatoire et strictement encadré, deviendrait ainsi la règle, ce qui élargirait très largement le champ des données susceptibles d’être exploitées par Europol.

La proposition n’est pas dépourvue de garde-fous. Les données hors annexe II devraient être supprimées dès que la finalité du traitement est atteinte, séparées des autres données dans la mesure du possible et signalées au délégué à la protection des données[12].

Ces garanties demeurent toutefois internes à l’agence. Aucune ne confère aux personnes concernées de droit nouveau, qu’il s’agisse d’être informées du traitement de leurs données ou de le contester, qui viendrait compenser l’élargissement proposé.

Dans sa rédaction actuelle, l’article 32 ouvrirait à Europol la possibilité d’exploiter des masses de données touchant des personnes qui ne font l’objet d’aucun soupçon. L’utilité de ces informations ne serait établie qu’à postériori, à l’issue de leur exploitation.

La Commission l’admet expressément : elle y voit « une rupture avec la logique du régime précédent », qui faisait du traitement hors catégorie l’exception[13]. Elle justifie ce choix par le fait que la pertinence de certaines données ou leur lien avec des activités criminelles « ne peuvent apparaître que progressivement au cours de l’analyse opérationnelle »[14] ou que des données « initialement pas jugées pertinentes » peuvent, « lors d’un traitement ultérieur, acquérir une importance opérationnelle »[15].

En l’état, cette proposition laisse craindre de nombreuses atteintes aux droits fondamentaux des personnes concernées, notamment du droit au respect de la vie privée, du droit à la protection des données à caractère personnel et de la présomption d’innocence, garantis par les articles 7, 8et 48 de la Charte des droits fondamentaux de l’Union européenne.

La proposition de la Commission sera examinée par le Parlement européen et le Conseil selon la procédure législative ordinaire, en vue du prochain mandat de l’agence, prévu au 1er janvier 2028. Il leur appartiendra de définir les garanties procédurales nécessaires à la protection des droits fondamentaux des personnes concernées, qu’une telle extension des pouvoirs d’Europol appelle.