CELEX: 62004CJ0317
Protection des personnes physiques à l'égard du traitement des données à caractère personnel
Transport aérien
Décision 2004/496/CE
Accord entre la Communauté européenne et les États-Unis d'Amérique
Dossiers des passagers aériens transférés au Bureau des douanes et de la protection des frontières des États-Unis d'Amérique
Directive 95/46/CE
Article 25
États tiers
Décision 2004/535/CE
Niveau de protection adéquat

1       Par sa requête dans l’affaire C-317/04, le Parlement européen demande l’annulation de la décision 2004/496/CE du Conseil,
du 17 mai 2004, concernant la conclusion d’un accord entre la Communauté européenne et les États-Unis d’Amérique sur le traitement
et le transfert de données PNR par des transporteurs aériens au bureau des douanes et de la protection des frontières du ministère
américain de la sécurité intérieure (JO L 183, p. 83 et rectificatif JO 2005, L 255, p. 168).
2       Par sa requête dans l’affaire C-318/04, le Parlement demande l’annulation de la décision 2004/535/CE de la Commission, du
14 mai 2004, relative au niveau de protection adéquat des données à caractère personnel contenues dans les dossiers des passagers
aériens transférés au Bureau des douanes et de la protection des frontières des États-Unis d’Amérique (JO L 235, p. 11, ci-après
la «décision d’adéquation»).

Le cadre juridique
3       L’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le
4 novembre 1950 (ci-après la «CEDH»), stipule:
«1      Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.
2      Il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence est prévue
par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la
sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la
protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui.»
4       L’article 95, paragraphe 1, deuxième phrase, CE est libellé comme suit:
«Le Conseil, statuant conformément à la procédure visée à l’article 251 et après consultation du Comité économique et social,
arrête les mesures relatives au rapprochement des dispositions législatives, réglementaires et administratives des États membres
qui ont pour objet l’établissement et le fonctionnement du marché intérieur.»
5       La directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques
à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31), telle
que modifiée par le règlement (CE) n° 1882/2003 du Parlement européen et du Conseil, du 29 septembre 2003, portant adaptation
à la décision 1999/468/CE du Conseil des dispositions relatives aux comités assistant la Commission dans l’exercice de ses
compétences d’exécution prévues dans des actes soumis à la procédure visée à l’article 251 du traité CE (JO L 284, p. 1) (ci-après
la «directive»), a été adoptée sur le fondement de l’article 100 A du traité CE (devenu, après modification, article 95 CE).
6       Son onzième considérant énonce que «les principes de la protection des droits et des libertés des personnes, notamment du
droit à la vie privée, contenus dans la présente directive précisent et amplifient ceux qui sont contenus dans la convention,
du 28 janvier 1981, du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données
à caractère personnel».
7       Aux termes du treizième considérant de la directive:
«[L]es activités visées aux titres V et VI du traité sur l’Union européenne concernant la sécurité publique, la défense, la
sûreté de l’État ou les activités de l’État dans le domaine pénal ne relèvent pas du champ d’application du droit communautaire,
sans préjudice des obligations incombant aux États membres au titre de l’article 56 paragraphe 2 et des articles 57 et 100
A du traité [...]».
8       Le cinquante-septième considérant de la directive énonce:
«[...] lorsqu’un pays tiers n’offre pas un niveau de protection adéquat, le transfert de données à caractère personnel vers
ce pays doit être interdit».
9       L’article 2 de la directive prévoit:
«Aux fins de la présente directive, on entend par:
a)      ‘données à caractère personnel’: toute information concernant une personne physique identifiée ou identifiable (personne concernée);
est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un
numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique,
économique, culturelle ou sociale;
b)      ‘traitement de données à caractère personnel’ (traitement): toute opération ou ensemble d’opérations effectuées ou non à l’aide
de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation,
la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission,
diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement
ou la destruction;
[…]»
10     Aux termes de l’article 3 de la directive:
«Champ d’application
1.      La présente directive s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au
traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.
2.      La présente directive ne s’applique pas au traitement de données à caractère personnel:
–       mis en oeuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit communautaire, telles que celles
prévues aux titres V et VI du traité sur l’Union européenne, et, en tout état de cause, aux traitements ayant pour objet la
sécurité publique, la défense, la sûreté de l’État (y compris le bien-être économique de l’État lorsque ces traitements sont
liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal,
[…]»
11     L’article 6, paragraphe 1, de la directive énonce:
«Les États membres prévoient que les données à caractère personnel doivent être:
[…]
b)      collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible
avec ces finalités. Un traitement ultérieur à des fins historiques, statistiques ou scientifiques n’est pas réputé incompatible
pour autant que les États membres prévoient des garanties appropriées;
c)      adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles
elles sont traitées ultérieurement;
[…]
e)      conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire
à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement.
[…]»
12     L’article 7 de la directive dispose:
«Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si:
[…]
c)      il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis
[…]
ou
e)      il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est
investi le responsable du traitement ou le tiers auquel les données sont communiquées
ou
f)      il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers
auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux
de la personne concernée, qui appellent une protection au titre de l’article 1
er
paragraphe 1.»
13     Aux termes de l’article 8, paragraphe 5, premier alinéa, de la directive:
«Le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être effectué
que sous le contrôle de l’autorité publique ou si des garanties appropriées et spécifiques sont prévues par le droit national,
sous réserve des dérogations qui peuvent être accordées par l’État membre sur la base de dispositions nationales prévoyant
des garanties appropriées et spécifiques. Toutefois, un recueil exhaustif des condamnations pénales ne peut être tenu que
sous le contrôle de l’autorité publique.»
14     L’article 12 de la directive dispose:
«Les États membres garantissent à toute personne concernée le droit d’obtenir du responsable du traitement:
a)      sans contrainte, à des intervalles raisonnables et sans délais ou frais excessifs:
–      la confirmation que des données la concernant sont ou ne sont pas traitées, ainsi que des informations portant au moins sur
les finalités du traitement, les catégories de données sur lesquelles il porte et les destinataires ou les catégories de destinataires
auxquels les données sont communiquées,
–      la communication, sous une forme intelligible, des données faisant l’objet des traitements, ainsi que de toute information
disponible sur l’origine des données,
–      la connaissance de la logique qui sous-tend tout traitement automatisé des données la concernant, au moins dans le cas des
décisions automatisées visées à l’article 15 paragraphe 1;
b)      selon le cas, la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente
directive, notamment en raison du caractère incomplet ou inexact des données;
c)      la notification aux tiers auxquels les données ont été communiquées de toute rectification, tout effacement ou tout verrouillage
effectué conformément au point b), si cela ne s’avère pas impossible ou ne suppose pas un effort disproportionné.»
15     L’article 13, paragraphe 1, de la directive est libellé comme suit:
«Les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus
à l’article 6 paragraphe 1, à l’article 10, à l’article 11 paragraphe 1 et aux articles 12 et 21, lorsqu’une telle limitation
constitue une mesure nécessaire pour sauvegarder:
a)      la sûreté de l’État;
b)      la défense;
c)      la sécurité publique;
d)      la prévention, la recherche, la détection et la poursuite d’infractions pénales ou de manquements à la déontologie dans le
cas des professions réglementées;
e)      un intérêt économique ou financier important d’un État membre ou de l’Union européenne, y compris dans les domaines monétaire,
budgétaire et fiscal;
f)      une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité
publique, dans les cas visés aux points c), d) et e);
g)      la protection de la personne concernée ou des droits et libertés d’autrui.»
16     L’article 22 de la directive prévoit:
«Recours
Sans préjudice du recours administratif qui peut être organisé, notamment devant l’autorité de contrôle visée à l’article
28, antérieurement à la saisine de l’autorité judiciaire, les États membres prévoient que toute personne dispose d’un recours
juridictionnel en cas de violation des droits qui lui sont garantis par les dispositions nationales applicables au traitement
en question».
17     Les articles 25 et 26 de la directive forment le chapitre IV concernant le transfert de données à caractère personnel vers
des États tiers.
18     L’article 25 de la directive, intitulé «Principes», prévoit:
«1.      Les États membres prévoient que le transfert vers un pays tiers de données à caractère personnel faisant l’objet d’un traitement,
ou destinées à faire l’objet d’un traitement après leur transfert, ne peut avoir lieu que si, sous réserve du respect des
dispositions nationales prises en application des autres dispositions de la présente directive, le pays tiers en question
assure un niveau de protection adéquat.
2.      Le caractère adéquat du niveau de protection offert par un pays tiers s’apprécie au regard de toutes les circonstances relatives
à un transfert ou à une catégorie de transferts de données; en particulier, sont prises en considération la nature des données,
la finalité et la durée du ou des traitements envisagés, les pays d’origine et de destination finale, les règles de droit,
générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de
sécurité qui y sont respectées.
3.      Les États membres et la Commission s’informent mutuellement des cas dans lesquels ils estiment qu’un pays tiers n’assure pas
un niveau de protection adéquat au sens du paragraphe 2.
4.      Lorsque la Commission constate, conformément à la procédure prévue à l’article 31 paragraphe 2, qu’un pays tiers n’assure
pas un niveau de protection adéquat au sens du paragraphe 2 du présent article, les États membres prennent les mesures nécessaires
en vue d’empêcher tout transfert de même nature vers le pays tiers en cause.
5.      La Commission engage, au moment opportun, des négociations en vue de remédier à la situation résultant de la constatation
faite en application du paragraphe 4.
6.      La Commission peut constater, conformément à la procédure prévue à l’article 31 paragraphe 2, qu’un pays tiers assure un niveau
de protection adéquat au sens du paragraphe 2 du présent article, en raison de sa législation interne ou de ses engagements
internationaux, souscrits notamment à l’issue des négociations visées au paragraphe 5, en vue de la protection de la vie privée
et des libertés et droits fondamentaux des personnes.
Les États membres prennent les mesures nécessaires pour se conformer à la décision de la Commission.»
19     Aux termes de l’article 26, paragraphe 1, de la directive, intitulé «Dérogations»:
«Par dérogation à l’article 25 et sous réserve de dispositions contraires de leur droit national régissant des cas particuliers,
les États membres prévoient qu’un transfert de données à caractère personnel vers un pays tiers n’assurant pas un niveau de
protection adéquat au sens de l’article 25 paragraphe 2 peut être effectué, à condition que:
a)      la personne concernée ait indubitablement donné son consentement au transfert envisagé
ou
b)      le transfert soit nécessaire à l’exécution d’un contrat entre la personne concernée et le responsable du traitement ou à l’exécution
de mesures précontractuelles prises à la demande de la personne concernée
ou
c)      le transfert soit nécessaire à la conclusion ou à l’exécution d’un contrat conclu ou à conclure, dans l’intérêt de la personne
concernée, entre le responsable du traitement et un tiers
ou
d)      le transfert soit nécessaire ou rendu juridiquement obligatoire pour la sauvegarde d’un intérêt public important, ou pour
la constatation, l’exercice ou la défense d’un droit en justice
ou
e)      le transfert soit nécessaire à la sauvegarde de l’intérêt vital de la personne concernée
ou
f)      le transfert intervienne au départ d’un registre public qui, en vertu de dispositions législatives ou réglementaires, est
destiné à l’information du public et est ouvert à la consultation du public ou de toute personne justifiant d’un intérêt légitime,
dans la mesure où les conditions légales pour la consultation sont remplies dans le cas particulier.»
20     Sur la base de la directive et, notamment, de son article 25, paragraphe 6, la Commission des Communautés européennes a adopté
la décision d’adéquation.
21     Le onzième considérant de cette décision énonce:
«Le traitement par le CBP [United States Bureau of Customs and Border Protection (Bureau des douanes et de la protection des
frontières des États-Unis)] des données à caractère personnel contenues dans les PNR [‘Passenger Name Records’ (dossiers passagers)]
des passagers aériens qui lui sont transférés est régi par les dispositions figurant dans la ‘Déclaration d’engagement du
Bureau des douanes et de la protection des frontières du ministère de la sécurité intérieure du 11 mai 2004’ (ci-après dénommée
‘la déclaration d’engagement’) et par la législation américaine dans les conditions prévues par la déclaration d’engagement.»
22     Aux termes du quinzième considérant de la même décision, les données des PNR doivent être utilisées dans le but unique de
prévenir et de combattre le terrorisme et les crimes liés au terrorisme, d’autres crimes graves, y compris la criminalité
organisée, qui, par nature, revêtent un caractère transnational et la fuite en cas de mandat d’arrêt ou de mise en détention
pour l’un des crimes susmentionnés.
23     Aux termes des articles 1
er
à 4 de la décision d’adéquation:
«
Article premier
Aux fins de l’article 25, paragraphe 2, de la directive 95/46/CE, le Bureau des douanes et de la protection des frontières
des États-Unis (ci-après le ‘CBP’) est considéré comme assurant un niveau de protection adéquat des données de dossiers passagers
(ci-après dénommés les ‘PNR’) transférées depuis la Communauté en ce qui concerne les vols à destination ou au départ des
États-Unis, conformément à la déclaration d’engagement figurant en annexe.
Article 2
La présente décision concerne le niveau de protection adéquat assuré par le CBP en vue de répondre aux exigences de l’article
25, paragraphe 1, de la directive 95/46/CE et n’influe en rien sur d’autres conditions ou restrictions mettant en application
d’autres dispositions de la directive qui s’appliquent au traitement de données à caractère personnel dans les États membres.
Article 3
1.      Sans préjudice des pouvoirs leur permettant de prendre des mesures pour assurer le respect des dispositions nationales adoptées
conformément aux dispositions autres que l’article 25 de la directive 95/46/CE, les autorités compétentes des États membres
peuvent exercer les pouvoirs dont elles disposent actuellement pour suspendre le transfert de données vers le CBP afin de
protéger les personnes physiques à l’égard du traitement des données à caractère personnel qui les concernent dans l’un des
deux cas suivants:
a)      lorsqu’une autorité américaine compétente a constaté que le CBP ne respecte pas les normes applicables en matière de protection;
b)      lorsqu’il est probable que les normes de protection établies en annexe ne sont pas respectées, qu’il y a tout lieu de croire
que le CBP ne prend pas ou ne prendra pas, en temps voulu, les mesures qui s’imposent pour régler l’affaire en question, que
la poursuite du transfert entraînerait un risque imminent de grave préjudice pour les personnes concernées et que les autorités
compétentes de l’État membre se sont raisonnablement efforcées, dans ces circonstances, d’avertir le CBP et de lui donner
la possibilité de répondre.
2.      La suspension du transfert cesse dès que les normes de protection sont assurées et que les autorités compétentes dans les
États membres concernés en sont averties.
Article 4
1.      Les États membres informent sans tarder la Commission des mesures adoptées conformément à l’article 3.
2.      Les États membres et la Commission s’informent aussi mutuellement de tout changement dans les normes de protection ainsi que
des cas dans lesquels les mesures prises par les autorités chargées de veiller au respect par le CBP des normes de protection
établies en annexe ne suffisent pas à en assurer le respect.
3.      Si les informations recueillies conformément à l’article 3 et aux paragraphes 1 et 2 du présent article montrent que les principes
essentiels nécessaires pour assurer un niveau de protection adéquat des personnes physiques ne sont plus respectés, ou qu’un
quelconque organisme chargé de veiller au respect par le CBP des normes de protection établies en annexe ne remplit pas efficacement
sa mission, le CBP sera informé et, si nécessaire, la procédure prévue à l’article 31, paragraphe 2, de la directive 95/46/CE
sera applicable en vue d’annuler ou de suspendre la présente décision.»
24     La «[d]éclaration d’engagement du Bureau des douanes et de la protection des frontières du ministère de la sécurité intérieure»,
annexée à la décision d’adéquation, énonce:
«Afin de soutenir le projet de la Commission européenne visant à exercer les pouvoirs qui lui sont conférés par l’article
25, paragraphe 6, de la directive 95/46/CE […] et à adopter une décision reconnaissant que le [CBP] du ministère de la sécurité
intérieure (
Department of Homeland Security
) fournit un niveau de protection adéquat aux fins du transfert, par les compagnies aériennes, de données de [PNR] susceptibles
de relever du champ d’application de la directive, le CBP prend les engagements suivants [...]»
25     Ces engagements comprennent 48 points, qui sont regroupés sous les titres suivants: «Fondement juridique du droit d’obtention
des PNR»; «Utilisation des données de PNR par le CBP»; «Exigences relatives aux données»; «Traitement des données ‘sensibles’»;
«Méthode d’accès aux données de PNR»; «Stockage des données de PNR»; «Sécurité des systèmes informatiques du CBP»; «Traitement
et protection des données de PNR par le CBP»; «Transmission de données de PNR à d’autres autorités gouvernementales»; «Information,
accès aux données et voies de recours pour les personnes concernées par les PNR»; «Respect des dispositions»; «Réciprocité»;
«Révision et durée de validité de la déclaration d’engagement», et «Absence de création de droits ou de précédent».
26     Parmi lesdits engagements figurent, notamment, les suivants:
«1)      En vertu de la loi [titre 49, section 44909(c)(3) du code des États-Unis] et de ses règlements (provisoires) de mise en œuvre
(titre 19, section 122.49 b du code des règlements fédéraux), toute compagnie aérienne assurant un service international de
transport de passagers à destination ou au départ des États-Unis doit fournir au CBP un accès électronique aux données de
PNR qui sont recueillies et stockées dans ses systèmes informatiques de réservation/contrôle des départs (ci-après dénommés
les ‘systèmes de réservation’).
[…]
3)      Le CBP utilise les données de PNR dans le but unique de prévenir et de combattre: 1) le terrorisme et les crimes liés au terrorisme;
2) d’autres crimes graves, y compris la criminalité organisée, qui, par nature, revêtent un caractère transnational, et 3)
la fuite en cas de mandat d’arrêt ou de mise en détention pour l’un des crimes susmentionnés. L’utilisation de données de
PNR à ces fins permet au CBP d’axer ses ressources sur des éléments à haut risque, facilitant et préservant ainsi le trafic
passagers légitime.
4)      Les éléments informatifs requis par le CBP sont énumérés à l’annexe A. […]
[…]
27)      Dans le cadre de toute procédure administrative ou judiciaire découlant d’une demande, introduite en vertu de la loi sur la
liberté de l’information, de données de PNR obtenues auprès de compagnies aériennes, le CBP soutiendra que les registres en
question ne sont pas soumis à la divulgation prévue par cette loi.
[…]
29)      Le CBP, à sa discrétion, ne transmettra de données de PNR à d’autres autorités gouvernementales de répression ou de lutte
contre le terrorisme, qu’elles soient nationales ou étrangères, qu’au cas par cas, aux fins de prévenir ou de combattre les
crimes visés au paragraphe 3. Les autorités avec lesquelles le CBP peut partager ces données sont ci-après dénommées ‘autorités
désignées’.
30)      Le CBP exercera avec discernement son pouvoir d’appréciation concernant le transfert de données de PNR aux fins spécifiées.
Il déterminera tout d’abord si la raison invoquée pour la divulgation des données de PNR à une autre autorité désignée est
conforme aux finalités prévues (voir le point 29). Dans l’affirmative, le CBP vérifiera si l’autorité désignée en question
est compétente pour prévenir toute violation d’une loi ou d’un règlement lié à ces finalités ou pour mener une enquête ou
engager des poursuites à cet égard ou pour mettre en œuvre ou veiller à l’application d’une telle loi ou d’un tel règlement,
pour le cas où le CBP disposerait d’un indice d’une violation effective ou potentielle de la loi. Le bien-fondé de la divulgation
devra être examiné à la lumière de l’ensemble des circonstances exposées.
[…]
35)      Aucune disposition de la présente déclaration d’engagement ne peut empêcher l’utilisation ou la divulgation de données de
PNR dans le cadre d’une procédure pénale ou au titre d’autres exigences prévues par la loi. Le CBP informera la Commission
de l’adoption, par les autorités américaines, de toute législation ayant une incidence sur le fond des présents engagements.
[…]
46)      La présente déclaration d’engagement est applicable durant une période de trois ans et six mois à compter de la date d’entrée
en vigueur d’un accord entre les États-Unis et la Communauté européenne autorisant le traitement de données de PNR par les
compagnies aériennes pour les transmettre au CBP conformément à la directive. […]
47)      La présente déclaration d’engagement ne crée ni ne confère aucun droit ni aucun avantage pour toute personne ou partie, qu’elle
soit privée ou publique.
[…]»
27     L’annexe «A» de la déclaration d’engagement contient les «rubriques des PNR» demandées par le CBP aux compagnies aériennes.
Font notamment partie desdites rubriques, le «code repère du dossier PNR», la date de réservation, le nom, l’adresse, les
modes de paiement, les numéros de téléphone, l’agence de voyage, le «statut» du voyageur («travel status of passenger»), l’adresse
électronique, des observations générales, le numéro du siège occupé, l’information selon laquelle le passager est répertorié
comme défaillant ainsi que les «informations APIS» éventuellement recueillies.
28     Le Conseil a adopté la décision 2004/496 notamment sur la base de l’article 95 CE, en liaison avec l’article 300, paragraphe
2, premier alinéa, première phrase, CE.
29     Aux termes des trois considérants de cette décision:
«(1) Le Conseil a autorisé la Commission, le 23 février 2004, à négocier, au nom de la Communauté, un accord avec les États-Unis
d’Amérique sur le traitement et le transfert de données PNR par des transporteurs aériens au bureau des douanes et de la protection
des frontières du ministère américain de la sécurité intérieure.
(2)       Le Parlement européen n’a pas émis son avis dans le délai fixé, en vertu de l’article 300, paragraphe 3, premier alinéa, du
traité, par le Conseil en vue de la nécessité urgente de remédier à la situation d’incertitude dans laquelle se trouvent les
compagnies aériennes et les passagers et de protéger les intérêts financiers des parties concernées.
(3)       Il convient d’approuver l’accord.»
30     L’article 1
er
de la décision 2004/496 prévoit:
«L’accord entre la Communauté européenne et les États-Unis d’Amérique sur le traitement et le transfert de données PNR par
des transporteurs aériens au bureau des douanes et de la protection des frontières du ministère américain de la sécurité intérieure,
est approuvé au nom de la Communauté.
Le texte de l’accord est joint à la présente décision.»
31     Ledit accord (ci-après l’«accord») est rédigé comme suit:
«La Communauté Européenne et les États-Unis d’Amérique,
Reconnaissant qu’il importe de respecter les droits et libertés fondamentaux, et notamment le droit au respect de la vie privée,
et de respecter ces valeurs, tout en prévenant et en combattant le terrorisme et les délits qui y sont liés, ainsi que d’autres
délits graves de nature transnationale, notamment la criminalité organisée,
Vu les lois et règlements américains exigeant de tout transporteur aérien assurant un service de transport international de
passagers à destination ou au départ des États-Unis qu’il fournisse au [CBP] du ministère américain de la sécurité intérieure
(ci-après dénommé ‘DHS’) un accès électronique aux données des [PNR] qui sont recueillies et stockées dans son système informatique
de contrôle des réservations et des départs,
Vu la directive 95/46/CE, […] et notamment son article 7, point c),
Vu les engagements pris par le CBP le 11 mai 2004, qui seront publiés dans le registre fédéral américain (ci-après dénommés
‘les engagements’),
Vu la décision 2004/535/CE de la Commission adoptée le 14 mai 2004, conformément à l’article 25, paragraphe 6, de la directive
95/46/CE, en vertu de laquelle le CBP est censé assurer un niveau de protection adéquat des données PNR transférées de la
Communauté européenne (ci-après dénommée ‘la Communauté’) et concernant les vols au départ ou à destination des États-Unis,
conformément aux engagements ci-annexés (ci-après dénommée ‘la décision’),
Notant que les transporteurs aériens disposant de systèmes de contrôle des réservations et des départs et établis sur le territoire
des États membres de la Communauté européenne doivent faire le nécessaire pour que les données PNR soient transmises au CBP
dès que cela sera techniquement possible, mais que, d’ici là, les autorités américaines devront pouvoir accéder directement
aux données, en vertu des dispositions du présent accord,
[…]
Sont convenus de ce qui suit:
1.       Le CBP peut accéder, par voie électronique, aux données PNR provenant des systèmes de contrôle des réservations et des départs
des transporteurs aériens (‘systèmes de réservation’) situés sur le territoire des États membres de la Communauté européenne,
en application stricte de la décision et aussi longtemps que cette dernière sera applicable, c’est-à-dire jusqu’à ce qu’un
système satisfaisant soit mis en place pour permettre la transmission de ces données par les transporteurs aériens.
[La version anglaise se lit comme suit: “CBP may electronically access the PNR data from air carriers reservation/departure
control systems (‘reservation systems’) located within the territory of the Member State of the European Community strictly
in accordance with the Decision and for so long as the Decision is applicable and only until there is a satisfactory system
in place allowing for transmission of such data by the air carriers.”]
2.       Les transporteurs aériens assurant un service de transport international de passagers à destination ou au départ des États-Unis
traitent les données PNR stockées dans leurs systèmes informatiques de réservation comme demandé par le CBP en vertu de la
législation américaine, en application stricte de la décision et aussi longtemps que cette dernière est applicable.
3.       Le CBP prend note de la décision et déclare qu’il met en œuvre les engagements annexés à ladite décision.
4.       Le CBP traite les données PNR reçues et les personnes concernées par ce traitement conformément aux lois et exigences constitutionnelles
américaines, sans discrimination, en particulier sur la base de la nationalité et du pays de résidence.
[…]
7.      Le présent accord entre en vigueur dès sa signature. Chaque partie peut dénoncer le présent accord à tout moment par notification
par la voie diplomatique. L’accord cesse d’être applicable quatre-vingt-dix (90) jours après la date de la notification de
la dénonciation à l’autre partie. Le présent accord peut être modifié à tout moment d’un commun accord écrit.
8.       Le présent accord n’a pas pour objet de déroger à la législation des parties ni de la modifier; il ne crée ni ne confère aucun
droit ou avantage sur toute autre personne ou entité, privée ou publique.»
32     Selon l’information du Conseil relative à la date de son entrée en vigueur (JO 2004, C 158, p. 1), l’accord, signé à Washington
le 28 mai 2004 par un représentant de la présidence en exercice du Conseil et par le secrétaire à la sécurité intérieure des
États-Unis d’Amérique, est, conformément à son point 7, entré en vigueur le jour de sa signature.

Les antécédents des litiges
33     À la suite des attaques terroristes du 11 septembre 2001, les États-Unis ont adopté en novembre de la même année une législation
disposant que les transporteurs aériens assurant des liaisons à destination ou au départ des États-Unis, ou traversant le
territoire de ces derniers, étaient tenus de fournir aux autorités douanières des États-Unis un accès électronique aux données
contenues dans leurs systèmes automatiques de réservation et de contrôle des départs, désignées par les termes «Passenger
Name Records» (ci-après les «données PNR»). Tout en reconnaissant la légitimité des intérêts de sécurité en jeu, la Commission
a informé les autorités des États-Unis, dès juin 2002, que ces dispositions pouvaient entrer en conflit avec la législation
communautaire et celle des États membres en matière de protection des données et avec certaines dispositions du règlement
(CEE) n° 2299/89 du Conseil, du 24 juillet 1989, instaurant un code de conduite pour l’utilisation de systèmes informatisés
de réservation (JO L 220, p. 1), tel que modifié par le règlement (CE) n° 323/1999 du Conseil, du 8 février 1999 (JO L 40,
p. 1). Les autorités des États-Unis ont reporté l’entrée en vigueur des nouvelles dispositions, mais ont, en définitive, refusé
de renoncer à infliger des sanctions aux compagnies aériennes ne se conformant pas à la législation concernant l’accès électronique
aux données PNR après le 5 mars 2003. Depuis lors, plusieurs grandes compagnies aériennes de l’Union européenne ont fourni
auxdites autorités un accès à leurs données PNR.
34     La Commission a entamé des négociations avec les autorités des États-Unis, lesquelles ont donné lieu à un document contenant
des engagements («undertakings») pris par le CBP, en vue de l’adoption par la Commission d’une décision d’adéquation sur la
base de l’article 25, paragraphe 6, de la directive.
35     Le 13 juin 2003, le groupe de protection des personnes à l’égard du traitement des données à caractère personnel, institué
à l’article 29 de la directive, a rendu un avis dans lequel il a exprimé des doutes sur le niveau de protection des données
garanti par lesdits engagements en ce qui concerne les traitements envisagés. Il a réitéré ces doutes dans un avis du 29 janvier
2004.
36     Le 1
er
mars 2004, la Commission a saisi le Parlement du projet de décision d’adéquation en vertu de l’article 25, paragraphe 6,
de la directive
95/46
, assorti du projet d’engagements du CBP.
37     Le 17 mars 2004, la Commission a transmis au Parlement, dans la perspective de la consultation de celui-ci au titre de l’article
300, paragraphe 3, premier alinéa, CE, une proposition de décision du Conseil concernant la conclusion d’un accord avec les
États-Unis. Par lettre du 25 mars 2004, se référant à la procédure d’urgence, le Conseil a demandé au Parlement de rendre
un avis sur cette proposition pour le 22 avril 2004 au plus tard. Dans cette lettre, le Conseil a souligné que «la lutte contre
le terrorisme, qui justifie les mesures proposées, est une priorité essentielle de l’Union européenne, [que,] actuellement,
les transporteurs aériens et les passagers sont dans une situation d’incertitude à laquelle il convient de remédier d’urgence
[et que], en plus, il est essentiel de protéger les intérêts financiers des parties concernées».
38     Le 31 mars 2004, en application de l’article 8 de la décision 1999/468/CE du Conseil, du 28 juin 1999, fixant les modalités
de l’exercice des compétences d’exécution conférées à la Commission (JO L 184, p. 23), le Parlement a adopté une résolution
faisant état d’un certain nombre de réserves d’ordre juridique sur la proposition qui lui avait été soumise. Dans cette résolution,
il a considéré, en particulier, que le projet de décision d’adéquation excédait les compétences conférées à la Commission
par l’article 25 de la directive. Il a appelé à la conclusion d’un accord international approprié respectant les droits fondamentaux
sur un certain nombre de points détaillés dans ladite résolution et a demandé à la Commission de lui soumettre un nouveau
projet de décision. Il s’est en outre réservé le droit de saisir la Cour aux fins de vérifier la légalité de l’accord international
envisagé et, en particulier, la compatibilité de celui-ci avec la protection du droit à la vie privée.
39     Le 21 avril 2004, le Parlement a entériné, à la demande de son président, une recommandation de la commission juridique et
du marché intérieur tendant à ce que, conformément à l’article 300, paragraphe 6, CE, soit recueilli l’avis de la Cour sur
la compatibilité de l’accord envisagé avec les dispositions du traité. Cette procédure a été entamée le jour même.
40     Le Parlement a également décidé, le même jour, de renvoyer en commission le rapport sur la proposition de décision du Conseil,
rejetant ainsi implicitement, à ce stade, la demande d’examen en urgence de ladite proposition présentée par le Conseil le
25 mars.
41     Le 28 avril suivant, le Conseil, se fondant sur l’article 300, paragraphe 3, premier alinéa, CE, a adressé une lettre au Parlement
demandant à ce dernier de rendre son avis avant le 5 mai 2004 sur la proposition de décision relative à la conclusion de l’accord.
Pour justifier l’urgence de cette demande, il a repris les motifs avancés dans sa lettre du 25 mars 2004.
42     Ayant pris connaissance de l’absence persistante de l’ensemble des versions linguistiques de la proposition de décision du
Conseil, le Parlement a rejeté, le 4 mai 2004, la demande d’examen en urgence de cette proposition que le Conseil lui avait
soumise le 28 avril.
43     Le 14 mai suivant, la Commission a adopté la décision d’adéquation, qui fait l’objet de l’affaire C-318/04. Le 17 mai 2004,
le Conseil a adopté la décision 2004/496, qui fait l’objet de l’affaire C-317/04.
44     Par lettre du 4 juin 2004, la présidence en exercice du Conseil a informé le Parlement que la décision 2004/496 prenait en
considération la lutte contre le terrorisme – prioritaire pour l’Union –, mais aussi le besoin de faire face à une situation
d’insécurité juridique des compagnies aériennes, ainsi que leurs intérêts financiers.
45     Par lettre du 9 juillet 2004, le Parlement a informé la Cour du retrait de sa demande d’avis enregistrée sous le n° 1/04.
46     Dans l’affaire C-317/04, par ordonnances du président de la Cour des 18 novembre 2004 et 18 janvier 2005, la Commission et
le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord ont été admis à intervenir à l’appui des conclusions du Conseil.
47     Dans l’affaire C-318/04, par ordonnance du président de la Cour du 17 décembre 2004, le Royaume-Uni a été admis à intervenir
à l’appui des conclusions de la Commission.
48     Par ordonnances de la Cour du 17 mars 2005, le Contrôleur européen de la protection des données a été admis à intervenir à
l’appui des conclusions du Parlement dans ces deux affaires.
49     Étant donné la connexité desdites affaires, confirmée lors de la procédure orale, il convient, conformément à l’article 43
du règlement de procédure, de les joindre aux fins de l’arrêt.

Sur le recours dans l’affaire C-318/04
50     Le Parlement invoque quatre moyens d’annulation, tirés respectivement d’un excès de pouvoir, d’une violation des principes
essentiels de la directive, d’une violation des droits fondamentaux et d’une violation du principe de proportionnalité.

Sur la première branche du premier moyen, tirée d’une violation de l’article 3, paragraphe 2, premier tiret, de la directive
Argumentation des parties
51     Le Parlement soutient que la décision de la Commission a été adoptée ultra vires dès lors que n’ont pas été respectées les
dispositions arrêtées dans la directive et en violation notamment de l’article 3, paragraphe 2, premier tiret, de celle-ci
relatif à l’exclusion des activités qui ne relèvent pas du champ d’application du droit communautaire.
52     Il ne ferait pas de doute que le traitement des données PNR après le transfert à l’autorité américaine visée par la décision
d’adéquation est effectué, et le sera, pour l’exercice d’activités propres aux États au sens du point 43 de l’arrêt du 6 novembre
2003, Lindqvist (C-101/01, Rec. p. I‑12971).
53     La Commission, soutenue par le Royaume-Uni, estime que les activités des transporteurs aériens entrent clairement dans le
champ d’application du droit communautaire. Elle fait valoir que ces opérateurs privés traitent les données PNR au sein de
la Communauté et organisent leur transfert vers un État tiers. Il s’agirait donc d’activités relevant des particuliers et
non d’activités de l’État membre dans lequel opèrent les transporteurs concernés, ou de ses pouvoirs publics, ainsi que l’a
défini la Cour au point 43 de l’arrêt Lindqvist, précité. Le but poursuivi par les transporteurs aériens dans le traitement
des données PNR serait simplement de respecter les exigences du droit communautaire, y compris l’obligation inscrite au point
2 de l’accord. L’article 3, paragraphe 2, de la directive ferait référence aux activités d’autorités publiques qui ne relèvent
pas du champ d’application du droit communautaire.
Appréciation de la Cour
54     L’article 3, paragraphe 2, premier tiret, de la directive exclut de son champ d’application le traitement de données à caractère
personnel mis en œuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit communautaire, telles
que celles prévues aux titres V et VI du traité sur l’Union européenne, et, en tout état de cause, les traitements ayant pour
objet la sécurité publique, la défense, la sûreté de l’État et les activités de l’État relatives à des domaines du droit pénal.
55     La décision d’adéquation ne concerne que les données PNR transférées au CBP. Il ressort du sixième considérant de cette décision
que les exigences de ce transfert se fondent sur une loi promulguée par les États-Unis en novembre 2001 et sur des règlements
de mise en œuvre adoptés par le CBP en vertu de cette loi. Selon le septième considérant de ladite décision, la législation
américaine en question concerne le renforcement de la sécurité ainsi que les conditions d’entrée aux États‑Unis et de sortie
dudit pays. Aux termes du huitième considérant, la Communauté soutient entièrement les États-Unis dans leur lutte contre le
terrorisme, dans les limites imposées par le droit de la Communauté. Le quinzième considérant de cette même décision énonce
que les données PNR doivent être utilisées dans le but unique de prévenir et de combattre le terrorisme et les crimes liés
au terrorisme, d’autres crimes graves, y compris la criminalité organisée, qui, par nature, revêtent un caractère transnational
et la fuite en cas de mandat d’arrêt ou de mise en détention pour l’un des crimes susmentionnés.
56     Il en résulte que le transfert des données PNR au CBP constitue un traitement ayant pour objet la sécurité publique et les
activités de l’État relatives à des domaines du droit pénal.
57     S’il est juste de considérer que les données PNR sont initialement collectées par les compagnies aériennes dans le cadre d’une
activité qui relève du droit communautaire, à savoir la vente d’un billet d’avion qui donne droit à une prestation de services,
toutefois, le traitement des données qui est pris en compte dans la décision d’adéquation possède une nature tout autre. En
effet, cette décision, ainsi qu’il a été rappelé au point 55 du présent arrêt, ne vise pas un traitement de données nécessaire
à la réalisation d’une prestation de services, mais considéré comme nécessaire pour sauvegarder la sécurité publique et à
des fins répressives.
58     Au point 43 de l’arrêt Lindqvist, précité, qui a été invoqué par la Commission dans sa défense, la Cour a jugé que les activités
mentionnées à titre d’exemple à l’article 3, paragraphe 2, premier tiret, de la directive sont, dans tous les cas, des activités
propres aux États ou aux autorités étatiques et étrangères aux domaines d’activité des particuliers. Toutefois, il n’en découle
pas que, en raison du fait que les données PNR ont été collectées par des opérateurs privés à des fins commerciales et que
ce sont ces derniers qui organisent leur transfert vers un États tiers, le transfert en cause n’entre pas dans le champ d’application
de cette disposition. En effet, ce transfert s’insère dans un cadre institué par les pouvoirs publics et visant la sécurité
publique.
59     Il résulte des considérations qui précèdent que la décision d’adéquation concerne un traitement de données à caractère personnel
au sens de l’article 3, paragraphe 2, premier tiret, de la directive. Cette décision ne relève donc pas du champ d’application
de celle-ci.
60     Dès lors, la première branche du premier moyen, tirée d’une violation de l’article 3, paragraphe 2, premier tiret, de la directive,
est fondée.
61     Par conséquent, sans qu’il soit nécessaire d’examiner les autres branches du premier moyen ainsi que les autres moyens invoqués
par le Parlement, il y a lieu d’annuler la décision d’adéquation.

Sur le recours dans l’affaire C-317/04
62     Le Parlement avance six moyens d’annulation, tirés du choix erroné de l’article 95 CE comme base juridique de la décision
2004/496 et de la violation, respectivement, de l’article 300, paragraphe 3, deuxième alinéa, CE, de l’article 8 de la CEDH,
du principe de proportionnalité, de l’exigence de motivation et du principe de coopération loyale.

Sur le premier moyen, tiré du choix erroné de l’article 95 CE comme base juridique de la décision 2004/496
Argumentation des parties
63     Le Parlement fait valoir que l’article 95 CE ne constitue pas, pour la décision 2004/496, une base juridique appropriée. Cette
décision n’aurait pas pour but et pour contenu l’établissement et le fonctionnement du marché intérieur en contribuant à l’élimination
d’entraves à la libre prestation des services et ne contiendrait pas de dispositions visant à la réalisation d’un tel but.
En effet, elle aurait pour finalité de légaliser le traitement de données à caractère personnel prescrit par la législation
des États-Unis. D’ailleurs, l’article 95 CE ne serait pas susceptible de fonder la compétence de la Communauté pour conclure
l’accord, puisque celui-ci vise des traitements de données exclus du champ d’application de la directive.
64     Le Conseil soutient que la directive, valablement adoptée sur le fondement de l’article 100 A du traité, contient à son article
25 des dispositions prévoyant la possibilité d’un transfert de données à caractère personnel vers un États tiers assurant
un niveau de protection adéquat, y compris la possibilité d’engager en cas de besoin des négociations conduisant à la conclusion
par la Communauté d’un accord avec ce pays. L’accord concernerait la libre circulation des données PNR entre la Communauté
et les États-Unis dans des conditions qui respectent les libertés et les droits fondamentaux des personnes, notamment la vie
privée. Il viserait à supprimer toute distorsion de concurrence, entre les compagnies aériennes des États membres et entre
celles-ci et les compagnies des États tiers, pouvant résulter des exigences imposées par les États-Unis, pour des raisons
relatives à la protection des droits et libertés des personnes. Les conditions de concurrence entre les compagnies des États
membres assurant un service de transport international de passagers à destination ou au départ des États-Unis auraient pu
être faussées en raison du fait que seulement certaines d’entre elles auraient accordé aux autorités des États-Unis un accès
à leurs bases de données. L’accord tendrait à imposer à toutes les compagnies concernées des obligations harmonisées.
65     La Commission souligne l’existence d’un «conflit de lois», au sens du droit international public, entre les lois des États-Unis
et la réglementation communautaire ainsi que la nécessité de concilier celles-ci. Elle reproche au Parlement, qui conteste
que l’article 95 CE puisse constituer la base juridique de la décision 2004/496, de n’avoir pas proposé de base juridique
appropriée. Selon la Commission, ledit article constitue «la base juridique naturelle» de cette décision puisque l’accord
concerne la dimension externe de la protection des données à caractère personnel lors de leur transfert à l’intérieur de la
Communauté. Les articles 25 et 26 de la directive fonderaient une compétence exclusive externe en faveur de la Communauté.
66     En outre, la Commission fait valoir que le traitement initial de ces données par les compagnies aériennes est effectué dans
des buts commerciaux. L’utilisation que font les autorités des États-Unis de ces données ne les ferait pas échapper à l’incidence
de la directive.
Appréciation de la Cour
67     L’article 95 CE, lu en combinaison avec l’article 25 de la directive, n’est pas susceptible de fonder la compétence de la
Communauté pour conclure l’accord.
68     En effet, l’accord vise le même transfert de données que la décision d’adéquation et donc des traitements de données qui sont,
ainsi qu’il a été exposé ci-dessus, exclus du champ d’application de la directive.
69     Par conséquent, la décision 2004/496 n’a pu être valablement adoptée sur le fondement de l’article 95 CE.
70     Sans qu’il soit nécessaire d’examiner les autres moyens invoqués par le Parlement, il convient donc d’annuler cette décision.

Sur la limitation des effets de l’arrêt
71     Il ressort du point 7 de l’accord que chaque partie peut dénoncer celui-ci à tout moment et qu’il cesse d’être applicable
90 jours après la date de la notification de la dénonciation à l’autre partie.
72     Cependant, conformément aux points 1 et 2 de l’accord, le droit d’accès du CBP aux données PNR et l’obligation imposée aux
transporteurs aériens de les traiter comme demandé par le CBP n’existent qu’aussi longtemps que la décision d’adéquation est
applicable. Au point 3 dudit accord, le CBP a déclaré qu’il met en œuvre les engagements annexés à ladite décision.
73     Eu égard, d’une part, au fait que la Communauté ne peut invoquer son propre droit comme justifiant la non-exécution de l’accord
qui reste applicable pendant le délai de 90 jours à compter de sa dénonciation et, d’autre part, au lien étroit existant entre
l’accord et la décision d’adéquation, il paraît justifié, pour des raisons de sécurité juridique et afin de protéger les personnes
concernées, de maintenir les effets de la décision d’adéquation pendant cette même période. En outre, il convient de tenir
compte du délai nécessaire à l’adoption des mesures que comporte l’exécution du présent arrêt.
74     Il y a donc lieu de maintenir les effets de la décision d’adéquation jusqu’au 30 septembre 2006, sans toutefois que ces effets
soient maintenus au-delà de la date d’extinction de l’accord.

Sur les dépens
75     Aux termes de l’article 69, paragraphe 2, du règlement de procédure, toute partie qui succombe est condamnée aux dépens, s’il
est conclu en ce sens. Le Parlement ayant conclu à la condamnation du Conseil et de la Commission et ceux-ci ayant succombé
en leurs moyens, il y a lieu de les condamner aux dépens. En application du paragraphe 4, premier alinéa, du même article,
les intervenants aux présents litiges supportent leurs propres dépens.
Par ces motifs, la Cour (grande chambre) déclare et arrête:
1)
La décision 2004/496/CE du Conseil, du 17 mai 2004, concernant la conclusion d’un accord entre la Communauté européenne et
les États-Unis d’Amérique sur le traitement et le transfert de données PNR par des transporteurs aériens au bureau des douanes
et de la protection des frontières du ministère américain de la sécurité intérieure, et la décision 2004/535/CE de la Commission,
du 14 mai 2004, relative au niveau de protection adéquat des données à caractère personnel contenues dans les dossiers des
passagers aériens transférés au Bureau des douanes et de la protection des frontières des États-Unis d’Amérique, sont annulées.
2)
Les effets de la décision 2004/535 sont maintenus jusqu’au 30 septembre 2006, sans toutefois que ces effets soient maintenus
au-delà de la date d’extinction dudit accord.
3)
Le Conseil de l’Union européenne est condamné aux dépens dans l’affaire C-317/04.
4)
La Commission des Communautés européennes est condamnée aux dépens dans l’affaire C-318/04.
5)
La Commission des Communautés européennes supporte ses propres dépens dans l’affaire C-317/04.
6)
Le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord ainsi que le Contrôleur européen de la protection des données supportent
leurs propres dépens.
Signatures
*
Langue de procédure: le français.