FR Journal officiel de l'Union européenne C 358/19

Résumé de l'avis du Contrôleur européen de la protection des données sur la proposition de règlement de la Commission concernant les comptes rendus d’évènements dans l’aviation civile et abrogeant la directive 2003/42/CE, le règlement (CE) no 1321/2007 de la Commission, le règlement (CE) no 1330/2007 de la Commission et l’article 19 du règlement (UE) no 996/2010

(Le texte complet de l'avis en anglais, français et allemand est disponible sur le site internet du CEPD http://www.edps.europa.eu)

2013/C 358/11

1. Introduction

1.1. Consultation du Contrôleur européen de la protection des données (CEPD)

1. Le 18 décembre 2012, la Commission a adopté une proposition de règlement concernant les comptes rendus d’évènements dans l’aviation civile et abrogeant la directive 2003/42/CE, le règlement (CE) no 1321/2007 de la Commission, le règlement (CE) no 1330/2007 de la Commission et l’article 19 du règlement (UE) no 996/2010 (ci-après la «proposition») (1). La proposition a été transmise au CEPD pour consultation le 8 janvier 2013.

2. Le CEPD se réjouit d’avoir été consulté par la Commission et apprécie le fait qu’une référence au présent avis soit incluse dans le préambule de la proposition. Avant l’adoption de la proposition, le CEPD a eu la possibilité de présenter des observations informelles à la Commission.

1.2. Objectifs et champ d’application de la proposition

3. Les trois actes dont l’abrogation est prévue par la proposition régissent les comptes rendus d’évènements de la manière suivante: la directive 2003/42/CE (2) impose à chaque État membre de mettre en place un système de comptes rendus d’évènements obligatoire (MORS). En vertu de ladite législation, les professionnels de l’aviation ont l’obligation de notifier les évènements (3) survenus au cours de leur activité quotidienne à travers le système mis en place par leur organisation (4). En outre, les États membres sont tenus de recueillir, stocker, protéger et diffuser entre eux les informations relatives à ces évènements. Deux règlements d’exécution complètent ladite législation: le règlement (CE) no 1321/2007 de la Commission (5), établissant le répertoire central européen (RCE) regroupant tous les évènements de l’aviation civile recueillis par les États membres, et le règlement (CE) no 1330/2007 de la Commission (6), fixant les règles concernant la diffusion des informations présentes dans le RCE.

4. La proposition s’appuie sur la directive 2003/42/CE pour améliorer les systèmes existants de comptes rendus d’évènements dans l’aviation civile tant au niveau national qu’européen. Entre autres, elle propose les modifications suivantes: — veiller à ce que tous les évènements pertinents soient notifiés et que les données collectées et stockées soient complètes et de bonne qualité; — établir un système de comptes rendus volontaire en complément du système obligatoire; — imposer non seulement aux États membres mais également aux organisations de notifier les évènements et d’organiser le transfert de ces comptes rendus au RCE; — encourager la notification des comptes rendus par une protection harmonisée des notifiants contre les sanctions de leur hiérarchie et les poursuites judiciaires; — veiller à assurer un accès adéquat aux informations consignées dans le RCE.

1.3. Objectif de l’avis du CEPD

5. Il découle de la proposition que les comptes rendus d’évènements établis par les employés seront recueillis par leurs organisations, et ensuite stockés dans une base de données et transmis par ces dernières aux autorités nationales compétentes ou à l’Agence européenne de la sécurité aérienne (AESA). Lesdites autorités, avec l’AESA et la Commission, transféreront les informations sur les évènements de l’aviation civile au RCE, géré par la Commission. En complément, la Commission traitera les données relatives aux parties intéressées demandant l’accès aux informations consignées dans le RCE.

6. Le CEPD prend acte du fait que la proposition ne vise pas à réglementer le traitement des données à caractère personnel. Cependant, les informations qui seront stockées, notifiées et transférées peuvent concerner des personnes physiques identifiables directement ou indirectement, telles que les notifiants, les tiers impliqués dans les comptes rendus des évènements et les parties intéressées demandant l’accès (7). L’information notifiée est susceptible de concerner non seulement les problèmes techniques, mais également, par exemple, les passagers violents, l’incapacité de l’équipage, ou les incidents de santé (8).

7. Par conséquent, le présent avis analyse les éléments de la proposition qui concernent le traitement des données à caractère personnel. Il s’appuie sur un précédent avis du CEPD (9) sur l’un des règlements abrogés par la proposition (10).

4. Conclusions

46. Le CEPD se réjouit de l’attention portée à la protection des données à caractère personnel, notamment par le biais de l’engagement «d’anonymiser» une majeure partie des données traitées au titre des comptes rendus d’évènements. Il rappelle cependant que les données traitées gardent leur caractère personnel et, par conséquent, se réjouit-il des références à l’applicabilité de la législation européenne sur la protection des données. Les dispositions prévues correspondent au mieux à une anonymisation partielle.

47. Le CEPD recommande de clarifier le champ d’application de «l'anonymisation». Il propose notamment d'apporter les améliorations suivantes au texte: — dans le préambule, préciser qu’au sens de la proposition, l’anonymisation est relative et ne correspond pas à l’anonymisation complète. En outre, conformément aux recommandations précédentes, le préambule devrait également expliquer que les mesures visant à rendre les données anonymes et celles d’anonymisation complète s’appliquent dans des contextes différents; — à l’article 16: préciser que les données disponibles pour les gestionnaires indépendants devraient être également anonymisées ou effacées dès que possible, à moins que la nécessité de conserver les données soit justifiée, par exemple, en vue de se conformer aux autres obligations légales des organisations; — afin de clarifier le champ d’application de l’anonymisation, le CEPD recommande de remplacer à l’article 16, paragraphes 1 et 2, le terme «données à caractère personnel» par «informations personnelles» et d'ajouter une référence concernant la possibilité d’identification par le biais d’aspects techniques, en conformité avec l’article 2, paragraphe 1; — l’article 5, paragraphe 6 permet aux États membres et aux organisations d’établir des systèmes de comptes rendus supplémentaires. Il convient de préciser que cette information devrait également être anonymisée. Le CEPD recommande par conséquent de clarifier à l’article 16, paragraphe 2, que les données à caractère personnel consignées dans les systèmes de collecte et de traitement d’informations de sécurité établis en conformité avec l’article 5, paragraphe 6 devraient être également anonymisés; — à l’article 13, paragraphe 10: préciser que l’information devrait être anonymisée (11) avant sa publication; — à l’article 11, paragraphe 4: spécifier que les informations mises à disposition des parties intéressées figurant à l'annexe III sans rapport avec l’équipement, les activités ou le domaine d’activité propres de la partie intéressée, devraient être non seulement agrégées ou rendues anonymes, conformément aux exigences visées à l’article 11, paragraphe 4, mais complètement anonymisées.

48. Le CEPD conseille de préciser dans la proposition l’identité du responsable du traitement de chaque base de données. Il recommande également de définir aux annexes I et II, à l’article 5, paragraphe 6, toutes les catégories de données à traiter et de clarifier l’article 7, paragraphe 1, et l’article 11, paragraphe 1 en conséquence. S’il est impossible de préciser tous les évènements et les champs de données à traiter conformément à l’article 7, paragraphe 1, à l’article 5, paragraphes 3 et 6, et à l’article 11, paragraphe 1, lesdits articles devraient au moins mentionner que les informations supplémentaires non exigées par la proposition ne devraient pas contenir des catégories particulières de données visées à l’article 8 de la directive 95/46/CE et à l’article 10 du règlement (CE) no 45/2001 («données sensibles»).

49. Le CEPD recommande également de préciser la durée de conservation des données dans les bases de données, les droits des personnes concernées et les mesures de sécurité à mettre en œuvre.

50. En cas de transferts vers des organisations de pays tiers ou des organisations internationales, celles-ci doivent s’engager à offrir les garanties adéquates par le biais d’un acte contraignant. Lesdites garanties peuvent être fondées sur les principes de protection des données prévus dans les clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers adoptées par la Commission et pourraient figurer à l’annexe de la proposition.

51. Au regard du traitement des données des parties intéressées demandant l’accès au répertoire central européen, le CEPD recommande de préciser dans la proposition les mesures de protection applicables au traitement des données relatives aux tiers (par exemple, la durée de conservation des données après que l’accès a été accordé ou refusé et les bénéficiaires du droit d'accès auxdites données). En outre, le formulaire figurant à l’annexe IV devrait contenir, en plus de la remarque concernant l’accès à l'information (12), une remarque concernant le respect de la vie privée.

52. Enfin, la nécessité de traiter des données sensibles pour l’un des motifs énoncés à l’article 8, paragraphes 2 à 4, de la directive 95/46/CE et à l’article 10, paragraphes 2 à 4, du règlement (CE) no 45/2001 devrait être motivée dans le préambule. Le CEPD recommande également d’adopter des garanties supplémentaires au regard du traitement des catégories particulières de données, telles que des mesures de sécurité plus strictes, l'interdiction de communiquer les catégories de données concernées aux tiers ne relevant pas du droit européen sur la protection des données et la restriction de les communiquer aux autres parties intéressées. En outre, le traitement de ces catégories de données peut être soumis au contrôle préalable par les autorités de protection des données nationales de l’UE et par le CEPD.

Fait à Bruxelles, le 10 avril 2013. Giovanni BUTTARELLI Contrôleur adjoint européen de la protection des données

(1) COM(2012) 776 final.

(2) Directive (CE) 2003/42/CE du Parlement européen et du Conseil du 13 juin 2003 concernant les comptes rendus d’évènements dans l’aviation civile (JO L 167 du 4.7.2003, p. 23).

(3) Le terme «évènement» désigne tout évènement important dans le contexte de la sécurité aérienne, notamment les incidents, les accidents et les incidents graves (voir article 2, paragraphe 8, de la proposition).

(4) Le terme «organisation» est défini dans la proposition comme «toute organisation fournissant des produits et/ou services dans le domaine de l’aviation, et notamment les exploitants d’aéronefs, les organismes de maintenance agréés, les organismes responsables de la conception de type et/ou de la construction d’aéronefs, les prestataires de services de navigation aérienne et les aérodromes certifiés» (voir article 2, paragraphe 9, de la proposition).

(5) Règlement (CE) no 1321/2007 de la Commission du 12 novembre 2007 fixant les règlements d’exécution pour l’enregistrement, dans un répertoire central, d’informations relatives aux évènements de l’aviation civile (JO L 294 du 13.11.2007, p. 3).

(6) Règlement (CE) no 1330/2007 de la Commission du 24 septembre 2007 fixant les règlements d’exécution pour la diffusion, auprès des parties intéressées, d'informations relatives aux évènements de l’aviation civile (JO L 295 du 14.11.2007, p. 7).

(7) Voir données à caractère personnel, notamment la partie 3.1.

(8) Voir annexe I de la proposition «Liste des incidents à notifier au titre du système de comptes rendus d’évènements obligatoire».

(9) Voir avis du Contrôleur européen de la protection des données sur la proposition de règlement du Parlement européen et du Conseil sur les enquêtes et la prévention des accidents et des incidents dans l’aviation civile (JO C 132 du 21.5.2010, p.1).

(10) Règlement (UE) no 996/2010 du Parlement européen et du Conseil du 20 octobre 2010 sur les enquêtes et la prévention des accidents et des incidents dans l’aviation civile et abrogeant la directive 94/56/CE (Texte présentant de l'intérêt pour l'EEE) (JO L 295 du 12.11.2010, p. 35).

(11) Cela en vue de s’assurer que les individus ne soient pas identifiables en prenant en compte tous les moyens susceptibles d’être raisonnablement utilisés par le responsable du traitement ou par toute autre personne.

(12) Point 7 de l’annexe IV.