Utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière

Second avis du Contrôleur européen de la protection des données (CEPD) sur la proposition de directive du Parlement européen et du Conseil relative à l’utilisation des données des dossiers «passagers» pour la prévention et la détection des infractions terroristes et des formes graves de criminalité ainsi que pour les enquêtes et les poursuites en la matière (directive PNR).

Pour rappel, la procédure législative est en suspens depuis que la commission des libertés civiles, de la justice et des affaires intérieures (LIBE) du Parlement européen a rejeté la proposition le 24 avril 2013, remettant en cause la nécessité et la proportionnalité de celle-ci. Récemment, les débats ont été relancés suite aux attentats terroristes survenus à Paris en janvier 2015.

Dans sa résolution du 11 février 2015 sur les mesures de lutte contre le terrorisme, le Parlement européen s’est engagé à mettre tout en œuvre pour finaliser la directive PNR de l’Union d’ici la fin de l’année. Il a notamment :

• prié la Commission de tirer les conséquences de l’arrêt de la Cour de justice de l’Union européenne relatif à la directive sur la conservation des données et ses effets possibles sur la directive PNR de l’Union ;
• demandé aux États membres d’optimiser l’utilisation des structures, bases de données et systèmes d’alerte existants en Europe, tels que le système d’information Schengen (SIS) et le système d’informations anticipées sur les passagers (APIS) et
• appelé à une amélioration des échanges d’informations entre les autorités policières et judiciaires des États membres et les agences de l’Union.

Le Parlement européen a également encouragé le Conseil à progresser sur le paquet législatif relatif à la protection des données, afin que les négociations en «trilogue» sur la directive PNR de l’Union et le paquet législatif relatif à la protection des données puissent avoir lieu parallèlement.

Dans ce contexte, un rapport actualisé a été présenté par le rapporteur de la commission LIBE le 17 février 2015. Plusieurs modifications de la proposition de la Commission ont été suggérées dans ce document, telles que l’éventuelle inclusion des vols intra-UE. La commission LIBE a adopté son vote d’orientation le 15 juillet 2015 et accepté d’entamer les négociations avec le Conseil.

Le présent avis du CEPD se penche sur les modifications de la proposition telles que suggérées par la commission LIBE et le Conseil en vue des négociations en trilogue qui doivent débuter en novembre 2015.

Le CEPD salue les améliorations apportées à la proposition par le Conseil et la commission LIBE, par exemple concernant les dispositions spécifiques relatives à la protection des données, la présence d’un délégué à la protection des données ou une référence spécifique à la compétence des autorités de contrôle.

Toutefois, le CEPD estime que les conditions préalables essentielles au système PNR - à savoir le respect des principes de nécessité et de proportionnalité - ne sont toujours pas remplies dans la proposition. Parmi les lacunes majeures, le CEPD signale :

• l’absence d’évaluation exhaustive de la capacité des instruments existants actuels à atteindre la finalité du système PNR de l’Union européenne ;
• l’absence d’analyse détaillée de la mesure dans laquelle des mesures plus respectueuses de la vie privée pourraient atteindre la finalité du système PNR de l’Union européenne ;
• le fait que la collecte non ciblée et massive de données ainsi que le traitement de celles-ci dans le cadre du système PNR s’apparentent à une mesure de surveillance générale.

Le CEPD estime que la seule finalité qui serait conforme aux exigences de transparence et de proportionnalité serait l’utilisation de données PNR au cas par cas mais, uniquement en cas de menace réelle et sérieuse appuyée par des indicateurs plus spécifiques. C’est pourquoi il encourage les législateurs à approfondir la réflexion sur la faisabilité, compte tenu des menaces actuelles, de mesures de surveillance plus sélectives et plus respectueuses de la vie privée sur la base d’initiatives plus spécifiques se concentrant, le cas échéant, sur des catégories ciblées de vols, de passagers ou de pays.

De l’avis du CEPD, la proposition devrait :

• limiter la durée de conservation des données à la période justifiée par des critères objectifs expliquant la durée retenue ;
• prévoir de manière plus explicite que les données PNR ne peuvent pas être utilisées à d’autres fins que la prévention et la détection des infractions terroristes et des infractions transnationales graves ;
• prévoir, en principe, l’obtention de l’accord préalable d’une juridiction ou d’un organe administratif indépendant en cas de demande d’accès aux données émanant d’une autorité compétente;
• faire référence à des garanties appropriées garantissant la sécurité des données traitées par l’unité de renseignements «passagers»;
• prévoir un champ d’application du système PNR bien plus limité en termes de type d’infraction ;
• mieux définir les critères à remplir pour que les autorités compétentes puissent accéder aux données PNR.

Le CEPD invite les législateurs à attendre l’adoption du nouveau paquet législatif relatif à la protection des données, afin de veiller à ce que les obligations de la proposition soient en parfaite concordance avec les nouvelles dispositions adoptées. De plus, l’évaluation de la directive devrait être fondée sur des données exhaustives, y compris le nombre de personnes effectivement condamnées, plutôt que seulement poursuivies, sur la base du traitement de leurs données.