Utilisation des données des dossiers passagers (passenger name record - PNR) à des fins répressives

AVIS CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES sur le projet de proposition de décision-cadre du Conseil relative à l'utilisation des données des dossiers passagers (Passenger Name Record — PNR) à des fins répressives.

La Commission a soumis le projet de décision-cadre au CEPD pour avis. Cette proposition porte sur le traitement des données PNR au sein de l'UE et est étroitement liée à d'autres mécanismes de collecte et d'utilisation des données relatives aux passagers, en particulier l'accord intervenu entre l'UE et les États-Unis en juillet 2007. Ces mécanismes intéressent vivement le CEPD, lequel estime qu'il faut mentionner le présent avis dans le préambule de la décision du Conseil.

L’avis du CEPD étudie tous les aspects de la proposition, en se concentrant cependant sur les éléments suivants considérés comme fondamentaux :

1. légitimité des mesures prévues : l'objectif, la nécessité et la proportionnalité de la proposition sont examinés au regard des critères énoncés à l'article 8 de la Charte des droits fondamentaux de l'UE ;
2. droit applicable et exercice de ce droit par les personnes concernées : il convient d'accorder une attention particulière au champ d'application de la décision-cadre relative à la protection des données en relation avec l'application de la législation en matière de protection des données existant dans le cadre du premier pilier du traité sur l’UE ;
3. qualité des destinataires des données au niveau national : en particulier, la qualité des unités de renseignements passagers, des intermédiaires et des autorités compétentes désignées pour procéder à l'évaluation des risques et à l'analyse des données relatives aux passagers suscite certaines inquiétudes, la proposition n'apportant aucune précision à cet égard ;
4. conditions régissant la communication des données à des pays tiers : il n'apparaît pas clairement quelles conditions ces transmissions devront respecter lorsque différentes règles seront applicables (les conditions prévues par la présente proposition, celles fixées par la décision-cadre relative à la protection des données ou celles définies par les accords internationaux existants avec les États-Unis ou le Canada).

En ce qui concerne la légitimité des mesures proposées, le Contrôleur estime qu’accumuler les bases de données sans disposer d'une vision globale des résultats concrets et des lacunes est à la fois contraire à une politique législative rationnelle et serait surtout susceptible d’ouvrir la voie à une évolution vers une société de surveillance totale. S’il est vrai que la lutte contre le terrorisme constitue un motif légitime pour appliquer des exceptions aux droits fondamentaux à la vie privée et à la protection des données, le CEPD estime toutefois que, pour être valable, la nécessité de l'ingérence doit s'appuyer sur des éléments clairs et indéniables, et la proportionnalité du traitement doit être démontrée. Cette exigence s'impose d'autant plus dans le cas d'une atteinte considérable à la vie privée des personnes concernées, comme celle que prévoit la proposition. Pour le CEPD, la proposition ne contiendrait ainsi aucun élément justificatif de ce type et les tests de nécessité et de proportionnalité ne seraient pas rencontrés. Il insiste dès lors sur le caractère de nécessité et de proportionnalité de la proposition qui représentent une condition sine qua non à son entrée en vigueur.

En ce qui concerne la question du droit applicable et l’exercice de ce droit par une personne donnée, le CEPD estime que la proposition devrait préciser quel régime juridique est applicable à quelle étape du traitement des données et à quel acteur ou à quelle autorité la personne devra s'adresser pour exercer son droit d'accès ou de rectification. Il rappelle que, conformément au traité UE, les dispositions relatives à la protection des données devraient être appropriées et couvrir l'éventail complet des opérations de traitement prévues par la proposition. La simple mention de la décision-cadre relative à la protection des données ne suffirait dès lors pas, compte tenu du champ d'application limité de la décision-cadre et de la restriction des droits qu'elle prévoit.

En ce qui concerne la qualité des destinataires, le CEPD estime que la mise en œuvre d'un système PNR de l'UE est rendue encore plus complexe par la diversité des compétences des services répressifs en fonction de la législation nationale des États membres, incluant ou non le renseignement, la fiscalité, l'immigration ou les missions de police. Ce serait toutefois une raison supplémentaire, pour le CEPD, de recommander que la proposition soit beaucoup plus précise en ce qui concerne la qualité des acteurs mentionnés et les garanties visant à contrôler l'exécution de leurs missions. Il conviendrait ainsi d'intégrer des dispositions supplémentaires pour définir précisément les compétences et les obligations légales des intermédiaires, des unités de renseignements passagers et des autres autorités compétentes.

Enfin, sur la question des conditions de communication à des pays tiers, le CEPD souligne qu'il est nécessaire de veiller à ce qu'un niveau adéquat de protection soit assuré dans le pays destinataire. Il s'interroge en particulier sur l'importance du principe de «réciprocité» visé dans la proposition et sur son application à des pays déjà liés par un accord avec l'UE, comme le Canada ou les États-Unis. Il estime ainsi qu'il est de la plus haute importance que les conditions de la transmission des données à des pays tiers soient cohérentes et soumises à un niveau harmonisé de protection.

Le CEPD fait également d’autres remarques importantes sur certains aspects particuliers de la proposition qui doivent être précisés, ou qui doivent prendre davantage en compte les principes de protection des données (ex. : conditions dans lesquelles des décisions automatisées peuvent être prises, qualité des données traitées, méthode de transmission de données ou système d'exportation (ou système «push»), période de conservation des données …).

Le CEPD note enfin que la proposition a été présentée à un moment où le cadre institutionnel de l'Union était sur le point de connaître un changement fondamental. Les conséquences du traité de Lisbonne en termes de prise de décision seront décisives, en particulier en ce qui concerne le rôle du Parlement. Étant donné l'incidence sans précédent de la proposition en termes de droits fondamentaux, le CEPD recommande de ne pas l'adopter dans le cadre du traité actuel mais de veiller à ce qu'elle soit adoptée selon la procédure de codécision prévue par le nouveau traité.