Accord UE/États-Unis: traitement et transfert de données de messagerie financière aux fins du programme de surveillance du financement du terrorisme

Le présent document reprend le texte de l'accord signé le 30 novembre 2009  entre l'UE et les USA sur le traitement et le transfert de données de messagerie financière de l'UE aux USA aux fins du programme de surveillance du financement du terrorisme (connu en anglais sous le nom de «Terrorist Finance Tracking Program» ou TFTP).

Les principaux éléments de cet accord peuvent se résumer comme suit :

Objet de l'accord : l’objectif de l’accord est de garantir, dans le respect intégral de la vie privée, de la protection des données à caractère personnel, et d'autres conditions énoncées l’accord que:

a)      les données de messagerie financière et les données connexes qui sont stockées sur le territoire de l'Union par les fournisseurs de services de messagerie financière internationale soient mises à disposition, à la demande du département du Trésor des États-Unis, aux fins de la prévention et de la détection du terrorisme ou de son financement, ainsi que des enquêtes ou des poursuites en la matière; et

b)      les informations pertinentes obtenues grâce à l’accord TFTP soient mises à la disposition des services répressifs, des organismes chargés de la sécurité publique ou des autorités chargées de la lutte contre le terrorisme des États membres, ou d'EUROPOL ou EUROJUST, aux fins de la prévention et de la détection du terrorisme ou de son financement, ainsi que des enquêtes ou des poursuites en la matière.

Données concernées : il s’agit des données de messagerie financière et de données connexes portant sur les actes d'une personne ou d'une entité qui présentent un caractère violent, un danger pour la vie humaine ou qui font peser un risque de dommage à des biens ou à des infrastructures, et qui, compte tenu de leur nature peuvent être raisonnablement perçus comme étant perpétrés dans le but:

• d'intimider une population ou de faire pression sur elle;
• d'intimider ou de contraindre des pouvoirs publics ou une organisation internationale, ou
• de déstabiliser gravement ou détruire les structures fondamentales politiques, constitutionnelles, économiques ou sociales d'un pays ou d'une organisation internationale.

Garantir la fourniture des données par les fournisseurs désignés : l'UE devra veiller à ce que des entités désignées par les Parties comme fournisseurs de services de messagerie financière internationale (les "fournisseurs désignés" en vertu de l’accord) transmettent au département américain du Trésor les données de messagerie financière et les données connexes demandées par celui-ci aux fins de la prévention et de la détection du terrorisme ou de son financement, ainsi que des enquêtes en la matière (les "données fournies").

Demandes des USA visant à obtenir des données des fournisseurs désignés : le département américain du Trésor devra envoyer une demande fondée sur une enquête en cours sur un comportement lié au terrorisme ou son financement, perpétré ou dont il y a lieu de penser, sur la base d'informations ou éléments de preuve préexistants, qu'il pourrait être perpétré. Cette demande devra recenser aussi clairement que possible les données stockées par un fournisseur désigné sur le territoire de l'Union. Les données pourront comprendre des informations d'identification sur l'émetteur et/ou le bénéficiaire de l'opération (nom, numéro de compte, adresse, numéro national d'identification, autres données à caractère personnel relatives à des messages financiers). La demande devra en outre justifier en quoi les données sont nécessaires, afin de limiter autant que possible le volume des données demandées, compte tenu des analyses des éléments géographiques, de la menace et de la vulnérabilité. L’accord prévoit en outre une procédure spécifique de demande de la part de l’autorité compétente des USA à destination d’un État membre de l’Union. En tout état de cause, la demande devra être traitée de manière urgente.

Garanties applicables au traitement des données fournies : le département américain du Trésor devra prendre les mesures nécessaires pour que les données fournies soient traitées conformément aux dispositions de l’accord, à savoir, en obéissant à des dispositions destinées à éviter toute forme d'exploration des données par profilage algorithmique ou informatisé, ou tout autre type de filtrage. Le Trésor américain devra s’engager à protéger les données visées par l’accord sans discrimination fondée sur la nationalité ou le pays de résidence, et en appliquant une série de 13 mesures spécifiques de sauvegarde détaillées à l’accord. Ces mesures visent globalement à faire en sorte que les données fournies soient traitées exclusivement aux fins de la prévention et de la détection du terrorisme ou de son financement. L’accord précise, par ailleurs, que toutes les données non extraites reçues le 20 juillet 2007 ou après cette date devront être effacées 5 ans après leur réception.

Communication spontanée d'informations : le département américain du Trésor devra veiller à mettre le plus rapidement possible à la disposition des services répressifs, des organismes chargés de la sécurité publique ou des autorités chargées de la lutte contre le terrorisme des États membres concernés ainsi que d'EUROPOL, toute information obtenue dans le cadre du TFTP qui pourrait contribuer, dans l'Union, à la prévention et à la détection du terrorisme ou de son financement. Toute information obtenue dans ce contexte et susceptible de contribuer, aux États-Unis, à la prévention et à la détection du terrorisme ou de son financement devra être communiquée en retour aux USA sur une base réciproque.

Demandes de recherches TFTP émanant de l'UE : lorsqu'un service répressif ou un organisme équivalent chargé de la lutte contre le terrorisme dans un État membre, EUROPOL ou EUROJUST, établit qu'il y a lieu de penser qu'une personne ou une entité a un lien avec le terrorisme, il peut demander une recherche d'informations pertinentes obtenues dans le cadre du TFTP. Cette recherche est effectuée par le département américain du Trésor sans délai. Des dispositions sont également prévues afin de prendre en compte toute coopération avec un futur système européen équivalent au programme américain de surveillance du financement du terrorisme, afin de prévoir des règles d’échanges de données sur la base de la réciprocité.

Réexamen conjoint : il est prévu que les parties réexaminent conjointement la mise en œuvre de l’accord dans les 6 mois qui suivent son entrée en vigueur en s'attachant tout particulièrement à vérifier l'application des dispositions relatives au respect de la vie privée, à la protection des données à caractère personnel et à la réciprocité énoncées dans l’accord.

Recours : des dispositions sont prévues afin de garantir que toute personne estimant que des données à caractère personnel la concernant ont fait l'objet d'un traitement en violation de l’accord, ait le droit de faire un recours administratif ou juridictionnel en application de la législation de l'UE, de ses États membres et des États-Unis, respectivement.

L’accord comporte enfin des dispositions relatives à la consultation mutuelle des parties afin de favoriser le bon fonctionnement de l’accord ainsi qu’en matière de dénonciation de l’accord. Il précise en outre qu’il n'a pas pour objet de déroger à la législation des États-Unis ou de l'UE ou de ses États membres, ni de la modifier, et qu’il ne crée ou ne confère aucun droit ou avantage pour toute autre personne ou entité, privée ou publique.

Applicabilité provisoire : l’accord est applicable à titre provisoire à compter du 1^er février 2010, jusqu'à son entrée en vigueur définitive. Sauf dénonciation, l’accord expire et cesse de produire des effets à compter du 31 octobre 2010. Á noter également que dès l'entrée en vigueur du traité de Lisbonne, les parties devront s'efforcer de conclure un accord à long terme pour succéder au présent accord.