Données des dossiers passagers

En novembre 2007, peu de temps après la signature d'un accord entre l'UE et les États-Unis concernant l'échange des données PNR, la Commission européenne a déposé un projet-cadre pour une nouvelle directive, qui s'alignait fortement sur l'accord de juillet 2007 avec Washington[11]. Le G29, regroupement des autorités de protection européennes créé par l'article 29 de la directive 95/46/CE, a rendu son rapport sur cette décision-cadre en décembre 2007, critiquant notamment le manque de dispositions visant à assurer la sécurité des données personnelles quant à la vie privée[11].

Le G29 signale en particulier que : « Dans sa rédaction actuelle, la proposition de décision-cadre prévoit la collecte d’un grand nombre de données à caractère personnel relatives aux passagers aériens entrant ou sortant de l’UE, indépendamment du fait qu'ils soient soupçonnés ou innocents. Ces données seront ensuite conservées pendant une durée de treize ans, en vue d’un éventuel usage ultérieur, permettant ainsi le profilage des voyageurs. Cette proposition s’ajoute au relevé des empreintes digitales de tous les citoyens demandant un passeport, et à la conservation de toutes les données liées au trafic des télécommunications au sein de l’UE. (...) Un régime PNR européen ne saurait aboutir à la surveillance généralisée de tous les passagers »[11].

Le G29 note en outre que les États-Unis « n’ont jamais prouvé de façon concluante que la quantité considérable de données passagers collectée est véritablement nécessaire à la lutte contre le terrorisme et la grande criminalité (...) Les seules informations fondées disponibles à cette fin indiquent que les données APIS [Advanced Passengers Information System] sont davantage utilisées que les données PNR. » [11] Dès lors, le G29 remarque qu'il ne voit pas quel besoin les États ont d'enregistrer, outre les données APIS, les données PNR, d'autant plus que l'UE dispose déjà du Système d'information Schengen (SIS) et prépare le système européen d'identification des visas (Visa Information System – VIS), une base de données biométriques concernant les demandeurs de visa pour l'espace Schengen[11].

Concernant l'échange d'informations avec des États tiers, le G29 « [s'inquiète] par ailleurs de la référence à des accords internationaux faite à l’article 8, paragraphe 2, et des conséquences de la réciprocité automatique avec les pays tiers utilisant un système PNR. Il faut se rendre compte que l’existence d’un régime PNR européen pourrait inciter des régimes non démocratiques ou corrompus à exiger la communication de PNR sur la base du principe de réciprocité. Il convient dès lors de se demander si les conséquences de cette réciprocité ont été suffisamment étudiées (par ex. la détention d'informations relatives aux cartes de crédit, qui font souvent partie des données PNR, par des fonctionnaires d’un État incapable de supprimer la corruption pourrait avoir des conséquences graves). D’autre part, l’acception du terme «lutte contre le terrorisme» peut, dans certains États, être extrêmement différente de celle admise dans l’UE. La réciprocité pourrait ainsi permettre à une dictature d’établir une évaluation des risques présentés par les dissidents, à partir des données PNR »[11].

En France, la loi du 23 janvier 2006 relative à la lutte contre le terrorisme a contraint les compagnies ferroviaires, aériennes, maritimes à transmettre les données PNR à la police et à la gendarmerie, données qui peuvent être comparées avec le Fichier des personnes recherchées (FPR)[12] ainsi qu'avec le Système d'information Schengen (SIS)[13].

En vertu de l'art. 7 de la loi du 23 janvier 2006, un arrêté du 28 janvier 2009 a prorogé le Fichier des passagers aériens, un système de traitement automatisé de données à caractère personnel concernant « les provenances et les destinations, situées dans des États n'appartenant pas à l'Union européenne, des passagers aériens »[13]. Les données sont conservées cinq ans, sauf celles concernant le FPR ou le SIS, qui ne seraient conservées que 24 heures[13]. Par ailleurs, ce nouveau fichier ayant une double finalité de prévention et répression d'actes de terrorisme d'une part, et d'autre part de « lutte contre l'immigration clandestine », ces données ne peuvent être consultées, dans ce dernier cas, « que dans les vingt-quatre heures qui suivent leur transmission »[13].

Au Royaume-Uni, l'Immigration, Asylum and Nationality Act 2006 (IANA) va plus loin que la décision-cadre du Conseil européen concernant les données PNR, autorisant leur collecte et usage pour plus d'organismes, y compris ceux chargés du prélèvement fiscal. De plus, la loi ne s'applique pas qu'aux transporteurs aériens, comme le fait la décision-cadre, mais à tous les transporteurs quels qu'ils soient[14]

À la suite du 11 septembre 2001, le département de la Sécurité intérieure des États-Unis (DHS) a essayé d'avoir accès aux données PNR des États membres de l'Union européenne (UE). Le Congrès a voté en particulier deux lois exigeant ces données, le Aviation and Transportation Security Act (en) du 19 novembre 2001 et le Enhanced Border Security and Visa Entry Reform Act of 2002 (en). Washington a négocié un accord, en mai 2004, avec l'UE, connu sous le nom d'accord PNR États-Unis - UE[15].

Cependant, la Cour européenne de justice a invalidé l'accord le 30 mai 2006[16] - [17].

Un nouvel accord PNR entre les États-Unis et l'UE a été signé en juillet 2007. Peu de temps après, l'administration Bush a accordé des dérogations au département de Sécurité intérieure concernant la loi de 1974 sur la vie privée (Privacy Act) en ce qui concerne l' Automated Targeting System (ATS) et le Arrival and Departure Information System (ADIS), deux bases de données informatisées du département de Sécurité intérieure — ce qui a suscité de la méfiance en Europe[18], y compris de la part du Contrôleur européen de la protection des données[19].

Enfin, Jonathan Faull, directeur général chargé de la politique de justice, de liberté et de sécurité, s'est plaint de politiques bilatérales américaines concernant les PNR[20]. Washington avait en effet court-circuité Bruxelles en signant en février 2008 un memorandum of understanding (MOU) avec la République tchèque, en échange d'une exemption de Visa, sans concertation préalable avec Bruxelles[21].

Les tensions entre l'UE et les États-Unis s'expliquent largement en raison de protection inférieure accordée aux données personnelles aux États-Unis. En particulier, les étrangers ne bénéficient pas de la loi américaine de 1974 sur la protection de la vie privée. Washington a bien passé un Safe Harbor arrangement avec l'UE pour se mettre en conformité avec les directives européennes sur la protection des données personnelles, mais on considère que l'accord n'est pas suffisant. Outre la République tchèque, les États-Unis ont tenté de passer des MOU bilatéraux avec le Royaume-Uni, l'Estonie, l'Allemagne et la Grèce[22].

Le Parlement européen a approuvé, jeudi 19 avril 2012, le projet d'accord sur le transfert des données des passagers aériens de l'Union européenne vers les États-Unis. Les données PNR sont destinées au ministère américain de la sécurité intérieure (DHS, Department of Homeland Security), et aux agences de renseignement américaines[23].

• Directive 2004/82 du Conseil concernant l'obligation pour les transporteurs de communiquer les données relatives aux passagers, 32004L0082, adoptée le 29 avril 2004, JO du 6 août 2004, p. 24-27, entrée en vigueur le 5 septembre 2004 [consulter en ligne, notice bibliographique]