FR Journal officiel de l'Union européenne C 51/12

Résumé de l'avis du Contrôleur européen de la protection des données sur les propositions de décisions du Conseil relatives à la conclusion et à la signature de l’accord entre le Canada et l’Union européenne sur le transfert et le traitement de données des dossiers passagers

(Le texte complet de l'avis en anglais, français et allemand est disponible sur le site internet du CEPD http://www.edps.europa.eu)

(2014/C 51/06)

I. Consultation du CEPD

1. Le 19 juillet 2013, la Commission européenne a adopté les propositions de décisions du Conseil relatives à la conclusion et à la signature de l’accord entre le Canada et l’Union européenne sur le transfert et le traitement de données des dossiers passagers (1) (ci-après les «propositions»), qui contiennent le texte de la proposition d’accord entre la Canada et l’Union européenne (ci-après l’«accord»). Les propositions ont été envoyées au CEPD le 23 juillet 2013.

2. Le CEPD a également eu la possibilité de donner son avis avant l’adoption des propositions. Le CEPD se réjouit de cette consultation préalable. Néanmoins, dans la mesure où elle a eu lieu après la clôture des négociations, la contribution du CEPD n’a pas pu être prise en compte. Le présent avis s’appuie sur les observations formulées en cette occasion.

II. Remarques d’ordre général

3. Comme indiqué en diverses occasions dans le passé (2), le CEPD doute de la nécessité et de la proportionnalité des systèmes PNR et des transferts massifs de données PNR vers des pays tiers. Ces deux exigences sont des conditions posées par la charte des droits fondamentaux de l’UE et par la convention européenne des droits de l’homme à toute limitation de l’exercice des droits fondamentaux, y compris les droits au respect de la vie privée et à la protection des données à caractère personnel (3). Conformément à la jurisprudence, si les motifs invoqués par les autorités publiques pour justifier une telle limitation doivent être pertinents et suffisants (4), encore doit-il être démontré qu’il n’existe pas d’autres méthodes moins intrusives (5). À ce jour, le CEPD n’a vu aucun élément convaincant démontrant la nécessité et la proportionnalité du traitement massif et systématique de données de passagers non suspects à des fins répressives.

4. Néanmoins, le CEPD se réjouit des garanties relatives à la protection des données prévues dans l’accord, même s’il déplore le fait que la durée de conservation ait été prolongée par rapport à l’accord PNR précédemment conclu avec le Canada.

5. Le CEPD se félicite également des efforts déployés par la Commission en matière de contrôle et de recours dans les limites des contraintes liées à la nature de l’accord. Il est toutefois préoccupé par les limitations du contrôle juridictionnel et par le fait que, dans certains cas, le recours administratif passe par une autorité interne qui n’est pas indépendante. Il met également en doute la pertinence d’un accord exécutif pour conférer des droits adéquats et effectifs aux personnes concernées.

6. L’accord régit l’utilisation par l’«autorité canadienne compétente» des données PNR transférées par des transporteurs aériens de l’UE et d’autres transporteurs assurant des vols au départ de l’UE (6). Le CEPD recommande de demander confirmation qu’aucune autre autorité canadienne ne peut accéder directement à ces données PNR ou les demander directement à ces transporteurs en contournant ainsi l’accord.

IV. Conclusions

47. Comme indiqué précédemment, le CEPD s’interroge sur la nécessité et la proportionnalité des systèmes PNR et des transferts massifs de données PNR aux pays tiers. Il met également en doute le choix de la base juridique et recommande que les propositions prennent pour base l’article 16 du traité FUE, lu conjointement avec l’article 218, paragraphe 5, et l’article 218, paragraphe 6, point a), du traité FUE.

48. Le CEPD s’inquiète également de l’accès limité à un recours administratif indépendant et à un recours judiciaire à part entière pour les citoyens de l’UE qui ne se trouvent pas au Canada, et s’interroge sur la pertinence d’un accord exécutif pour y parvenir. Il recommande également de demander confirmation qu’aucune autre autorité canadienne ne peut avoir directement accès aux données PNR ou les demander directement aux transporteurs couverts par l’accord.

49. S’agissant des dispositions spécifiques de l’accord, le CEPD se félicite de l’inclusion de mesures de protection des données. Néanmoins, l’accord devrait: — exclure totalement le traitement de données sensibles; — prévoir l’effacement ou l’anonymisation des données immédiatement après leur analyse et au plus tard 30 jours après leur réception et, en tout état de cause, réduire et justifier la période de conservation proposée, qui a été étendue par rapport à l’accord PNR conclu précédemment avec le Canada; — limiter les catégories de données PNR à traiter; — mentionner expressément que la surveillance globale sera assurée par une autorité indépendante.

50. En outre, le CEPD recommande de préciser les éléments suivants, soit dans l’accord, soit dans les documents qui l’accompagnent: — limiter davantage et clarifier les concepts définissant les finalités de l’accord; — clarifier quels types de discrimination «légale» seraient autorisés; — imposer l’obligation de notifier les violations de données à la Commission européenne et aux autorités de protection des données; — compléter les dispositions sur la transparence; — étendre l’interdiction d’adopter, sur la seule base d’un traitement informatisé, toutes les décisions affectant les passagers dans le cadre de l’accord; — préciser à quelles autorités du Canada les données PNR peuvent être transférées ultérieurement, en ajoutant l’exigence d’une autorisation judiciaire préalable ou de l’existence d’une menace immédiate, en prévoyant l’obligation d’inclure des mesures adéquates de protection des données dans les accords ou les arrangements conclus avec d’autres pays ou autorités destinataires et de les notifier à la Commission européenne et aux autorités européennes de protection des données; — nommer les autorités compétentes et fixer des sanctions dissuasives en cas de non-respect de l’accord; — préciser quels sont les mécanismes dont disposent les personnes qui ne résident pas au Canada pour demander un contrôle juridictionnel en application du droit canadien; — préciser si le droit à un contrôle juridictionnel pourrait être exercé même dans le cas où la décision ou l’action en cause n’a pas été notifiée à la personne concernée, notamment en cas de violation de dispositions de l’accord autres que celles relatives à l’accès, à la rectification et/ou à la mention; — préciser à quelle «autre voie de recours susceptible de conduire à une indemnisation» l’article 14, paragraphe 2, fait référence; — spécifier la fréquence des examens de la mise en œuvre de l’accord et leur contenu (qui devrait inclure l’évaluation de la nécessité et de la proportionnalité dudit accord), et inclure expressément les autorités européennes de protection des données dans l’équipe d’examen de l’UE.

Fait à Bruxelles, le 30 septembre 2013. Peter HUSTINX Contrôleur européen de la protection des données

(1) COM(2013) 529 final.

(2) Voir l’avis du CEPD du 9 décembre 2011 sur la proposition de décision du Conseil relative à la conclusion de l’accord entre les États-Unis d’Amérique et l’Union européenne sur l’utilisation et le transfert des données des dossiers passagers (données PNR) au ministère américain de la sécurité intérieure, JO C 35 du 9.2.2012, p. 6; avis du 15 juillet 2011 sur la proposition de décision du Conseil relative à la conclusion de l’accord entre l’Union européenne et l’Australie sur le traitement et le transfert de données des dossiers passagers (données PNR) par les transporteurs aériens au service australien des douanes et de la protection des frontières, JO C 322 du 23.12.2011, p. 1; avis du CEPD du 25 mars 2011 sur la proposition de directive du Parlement européen et du Conseil relative à l’utilisation des données des dossiers passagers pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière; avis du 19 octobre 2010 sur la démarche globale en matière de transfert des données des dossiers passagers (PNR) aux pays tiers; avis du 20 décembre 2007 sur la proposition de décision-cadre du Conseil relative à l’utilisation des données des dossiers passagers (PNR) à des fins répressives, JO C 110 du 1.5.2008, p. 1; avis du 15 juin 2005 sur la proposition de décision du Conseil relative à la conclusion d’un accord entre la Communauté européenne et le gouvernement du Canada sur le traitement des données relatives aux informations anticipées sur les voyageurs (API)/dossiers passagers (PNR), JO C 218 du 6.9.2005, p. 6 (tous ces avis sont disponibles à l’adresse: https://secure.edps.europa.eu/EDPSWEB/edps/Consultation/OpinionsC). Voir aussi les avis du groupe de travail «Article 29» sur les dossiers passagers, disponibles à l’adresse: http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/index_en.htm#data_transfers

(3) Voir les articles 7 et 8, et l’article 52, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne (JO C 83 du 30.3.2010, p. 389), et l’article 8 de la convention de sauvegarde des droits de l’homme et des libertés fondamentales (ETS no 5), Conseil de l’Europe, 4 novembre 1950.

(4) Voir l’arrêt de la Cour européenne des droits de l’homme du 4 décembre 2008, S. et Marper c. Royaume-Uni.

(5) Voir les arrêts de la Cour de justice du 9 novembre 2010, C-92/09, Volker und Markus Schecke GbR/Land Hessen, et C-93/09, Eifert/Land Hessen et Bundesansalt für Landwirtschaft und Ernährung.

(6) Voir l’exposé des motifs des propositions et l’article 3, paragraphe 1, de l’accord.