Europol version 2.0 : un budget doublé, un cloud souverain, et moins de garde-fous que prévu
Le projet de réforme représente le remaniement le plus ambitieux d'Europol et d'Eurojust en vingt-cinq ans d'existence. Il porterait le budget d'Europol de €1,9 milliard à €3 milliards et ajouterait plus de 900 employés. Eurojust recevrait une augmentation progressive de €100 millions sur sept ans.
Le paquet comprend deux nouveaux règlements pour élargir les mandats d'Europol et d'Eurojust, une révision de la décision d'enquête européenne, et des amendements aux règles de protection des données.
La pièce centrale de l'architecture technique : un espace de données policières partagées, construit sur une infrastructure cloud Europol, qui fournira aux services répressifs de l'ensemble de l'UE un environnement opérationnel commun pour collaborer sur des enquêtes transfrontalières. C'est le premier dispositif de ce type à l'échelle de l'Union.
Un hub technologique et d'innovation fournira, pour la première fois, une cartographie à l'échelle de l'UE des besoins en capacités des forces de l'ordre. Il soutiendra également les investissements des États membres dans des projets communs de recherche et développement.
Les deux agences gagneraient des mandats élargis pour lutter contre la fraude assistée par IA, la criminalité aux cryptomonnaies, et les communications chiffrées.
Le nœud du dossier
La proposition affaiblit les limitations actuelles de protection des données d'Europol. En l'état, l'agence n'est censée traiter que les données personnelles de suspects, victimes, témoins et autres personnes directement concernées. Le texte donnerait à Europol la capacité de traiter des données sensibles sur n'importe quelle personne, dès lors que ce traitement est "nécessaire et proportionné à l'accomplissement des missions d'Europol."
La proposition affaiblirait également les capacités de contrôle du Contrôleur européen de la protection des données. Europol gagnerait la capacité de traiter des données sensibles sans l'approbation préalable du CEPD dans certains cas, et une grande partie du rôle de surveillance du CEPD serait transférée au délégué à la protection des données interne d'Europol.
Ce n'est pas une abstraction réglementaire. Une enquête publiée par Computer Weekly, Correctiv et Solomon a révélé qu'Europol stockait des pétaoctets de données liées à la criminalité sur un réseau qui a fonctionné pendant des années sans contrôle des régulateurs, malgré d'importantes failles en matière de protection de la vie privée et de sécurité.
Des employés de Microsoft ont des bureaux dans le siège d'Europol à La Haye.
Les critiques
Le collectif "Protect Not Surveil" a déclaré que la proposition "augmentera certainement le nombre de personnes dont les données personnelles sont illicitement consultées par Europol." Chloé Berthélémy, conseillère politique senior chez European Digital Rights, a qualifié l'agence de "trou noir de données — engloutissant nos droits fondamentaux, et minant la justice, la sécurité et la responsabilité."
La même UE qui veut qu'Europol accède plus profondément aux données a eu du mal à réguler les entreprises vendant des outils d'interception à des gouvernements répressifs.
Une eurodéputée des Verts chargée du suivi d'Europol au Parlement européen a indiqué qu'elle veillerait à ce que la réforme soit menée dans le strict respect des droits fondamentaux, de la protection des données et de l'État de droit.
Ce qui reste à négocier
Le texte entre maintenant dans le processus législatif ordinaire via le Parlement européen et le Conseil. Le CEPD rendra un avis. La négociation sur l'accès aux données, les pouvoirs biométriques et la surveillance se déroulera en trilogue. Le Parlement a l'habitude de réduire la portée des dossiers de sécurité intérieure qu'il juge excessifs, comme il l'a fait sur le calendrier et la portée du règlement sur l'IA.
Les budgets projetés concernent le cadre financier pluriannuel 2028–2034. Ce qui sera voté en trilogue d'ici là est une autre question.
TL;DR
La Commission européenne propose de doubler le budget d'Europol, de créer un cloud partagé des forces de l'ordre et un hub technologique IA/chiffrement/crypto — avec en contrepartie un élargissement des droits de collecte de données que le CEPD et les associations de défense des libertés qualifient déjà d'excessif.
- Le cœur de la réforme est technique : cloud souverain européen pour les enquêtes transfrontalières, hub R&D mutualisé sur l'IA forensique et le déchiffrement, espace de données policières partagées entre les 27.
- La proposition autorise Europol à traiter les données personnelles de personnes non suspectes — une rupture avec le cadre actuel, que l'agence avait déjà violé selon son propre régulateur de données.
- Le texte entre en trilogue : ce qui sera adopté dépendra du Parlement européen, qui a déjà amendé substantiellement l'AI Act sur des périmètres comparables.
Questions fréquentes
Quelles implications concrètes pour une entreprise technologique prestataire des forces de l'ordre en Europe ?
Un hub d'innovation commun mutualisé entre 27 États membres crée un canal de marché public structuré à l'échelle de l'UE — potentiellement plus prévisible qu'une relation bilatérale avec chaque police nationale. Mais l'extension des droits de collecte de données génère aussi de nouvelles contraintes contractuelles pour tout fournisseur de solutions forensiques ou analytiques intégré dans les pipelines Europol.
Le cloud policier partagé va-t-il entrer en tension avec le RGPD ou l'AI Act ?
Oui, structurellement. L'AI Act classe les systèmes d'identification biométrique en temps réel comme à haut risque — des usages qu'Europol sollicite. La proposition prévoit des dérogations pour les agences répressives, mais leur portée exacte sera négociée en trilogue. Le CEPD, dont les pouvoirs de supervision seraient partiellement transférés à un DPO interne d'Europol, a d'ores et déjà signalé son désaccord de principe.
Quand ces réformes entreront-elles en vigueur concrètement ?
Le calendrier budgétaire est lié au cadre financier pluriannuel 2028–2034 — le doublement du budget à €3 milliards ne se matérialisera pas avant cette période. Les nouvelles dispositions réglementaires, elles, dépendent de la durée du trilogue. Compte tenu de la complexité politique du dossier et des précédents sur l'AI Act, une adoption avant 2028 serait optimiste.