3.

En ce qui concerne la protection des données à caractère personnel a) Légalité, équité et transparence du traitement: il est nécessaire de disposer d’une base légale pour le traitement des données à caractère personnel, afin de sensibiliser les personnes aux risques, aux garanties et aux droits liés au traitement de leurs données à caractère personnel et aux modalités d’exercice de leurs droits en matière de traitement. b) Limitation des finalités: les finalités pour lesquelles les données PNR peuvent être utilisées par les autorités devraient être clairement définies et ne devraient pas dépasser ce qui est nécessaire compte tenu des objectifs à atteindre, en particulier pour ce qui est de l’application de la loi et de la sécurité des frontières pour lutter contre le terrorisme et les formes graves de criminalité. c) Portée des données PNR: il convient d’identifier clairement les éléments de données PNR que les compagnies aériennes doivent transférer et d’en dresser une liste exhaustive. Cette liste devrait être normalisée afin de garantir que ces données sont limitées au minimum, tout en empêchant le traitement de données sensibles, y compris les données révélant l’origine raciale ou ethnique d’une personne, ses opinions politiques ou ses convictions religieuses ou philosophiques, son appartenance à un syndicat, son état de santé, sa vie sexuelle ou son orientation sexuelle. d) Utilisation des données PNR: le traitement ultérieur des données PNR devrait être limité aux finalités du transfert initial, sur la base de critères objectifs et sous réserve des conditions de fond et de procédure conformes aux exigences applicables aux transferts de données à caractère personnel. e) Traitement automatisé des données PNR: le traitement automatisé devrait être fondé sur des critères préétablis objectifs, fiables et non discriminatoires et ne devrait pas être utilisé comme seul fondement pour toute décision ayant des effets juridiques défavorables ou affectant gravement une personne. f) Conservation des données: la durée de conservation des données PNR devrait être limitée et ne devrait pas excéder ce qui est nécessaire pour atteindre l’objectif initialement poursuivi. Il convient de veiller à ce que les données soient effacées conformément aux exigences légales du pays source. À la fin de la période de conservation, les données PNR devraient être effacées ou anonymisées. g) Communication des données PNR aux autorités habilitées: la communication ultérieure, au cas par cas, des données PNR à d’autres autorités publiques au sein du même État ou à d’autres États membres de l’OACI ne peut avoir lieu que si l’autorité destinataire exerce des fonctions liées à la lutte contre le terrorisme ou les formes graves de criminalité transnationale et garantit les mêmes protections que celles offertes par l’autorité qui communique les données. h) Sécurité des données: des mesures appropriées doivent être prises pour protéger la sécurité, la confidentialité et l’intégrité des données PNR. i) Transparence et information: sous réserve des restrictions nécessaires et proportionnées, les personnes physiques devraient être informées du traitement de leurs données PNR, ainsi que des droits et des voies de recours dont elles disposent. j) Accès, rectification et suppression: sous réserve des restrictions nécessaires et proportionnées, les personnes physiques devraient avoir le droit d’accéder à leurs données PNR et de les rectifier. k) Voies de recours: les personnes physiques devraient avoir droit à un recours administratif et judiciaire effectif si elles estiment que leurs droits à la vie privée et à la protection des données ont été violés. l) Surveillance et responsabilité: les autorités qui utilisent les données PNR devraient être tenues de rendre compte devant une autorité publique indépendante dotée de pouvoirs effectifs d’enquête et de répression, et être contrôlées par cette autorité indépendante qui devrait être en mesure d’exécuter ses tâches à l’abri de toute influence, en particulier des autorités répressives, et d’être contrôlées par elle.