FR Journal officiel de l'Union européenne C 218/6

Avis du Contrôleur européen de la protection des données sur la proposition de décision du Conseil relative à la conclusion d'un accord entre la Communauté européenne et le gouvernement du Canada sur le traitement des données relatives aux informations anticipées sur les voyageurs (API)/dossiers passagers (PNR) [COM(2005) 200 final]

(2005/C 218/06)

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité instituant la Communauté européenne, et notamment son article 286,

vu la Charte des droits fondamentaux de l'Union européenne, et notamment son article 8,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données,

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, et notamment son article 41,

vu la demande d'avis formulée par la Commission conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001, reçue le 26 mai 2005,

A ADOPTÉ L'AVIS SUIVANT:

1. Introduction

1. Le CEPD se félicite d'avoir été consulté sur la base de l'article 28, paragraphe 2, du règlement (CE) no 45/2001. Cela confirme le point de vue qu'il a exprimé dans son document stratégique du 18 mars 2005 («Le CEPD en tant que conseiller des institutions communautaires à l'égard des propositions de législation et documents annexes»), à savoir que sa fonction consultative s'étend à la conclusion d'accords entre la CE et un ou plusieurs pays tiers et/ou organisations internationales en ce qui concerne le traitement des données à caractère personnel.

2. Vu le caractère impératif de l'article 28, paragraphe 2, du règlement (CE) no 45/2001, le présent avis devrait être mentionné dans le préambule de la décision du Conseil.

3. Conformément à ses considérants, l'accord en question, entre la Communauté européenne et le Canada, se réfère à une décision de la Commission, prise en application de l'article 25, paragraphe 6, de la directive 95/46/CE («La décision de la Commission»), en vertu de laquelle l'autorité canadienne compétente concernée est censée assurer un niveau de protection adéquat des données API/PNR. Le CEPD estime que la décision de la Commission aurait également dû lui être transmise pour consultation, étant donné que celle-ci fait partie de l'ensemble de la proposition législative.

4. La proposition examinée est la deuxième de ce type, après l'accord conclu le 17 mai 2004 (1) entre la Communauté européenne et les États-Unis d'Amérique, dont la légalité a été contestée par le Parlement européen au titre de l'article 230 du Traité CE. Dans son intervention devant la Cour de Justice, le CEPD a soutenu les conclusions déposées par le Parlement européen, qui demande l'annulation de l'accord.

2. L'essence de l'accord

5. La proposition d'accord en objet est par nature similaire à l'accord qui a été conclu avec les États-Unis d'Amérique. Elle est liée à une décision de la Commission, prise en application de l'article 25, paragraphe 6, de la directive 95/46/CE; son objectif est d'améliorer la sécurité publique et le transporteur aérien a l'obligation de transférer des données à un pays tiers.

6. Sur le plan du contenu, il existe toutefois des différences importantes, qui ont été relevées dans deux avis émis par le Groupe «Article 29» de protection des personnes à l'égard du traitement des données à caractère personnel (2). Le CEPD met en évidence quatre grandes différences qui jouent un rôle dans le présent avis. Premièrement, la proposition examinée prévoit un système de type «push» (et non un système de type «pull»), ce qui a pour conséquence que les compagnies aériennes opérant dans la Communauté européenne sont en mesure de contrôler les transferts de données aux autorités canadiennes. Deuxièmement, les engagements pris par les autorités canadiennes sont contraignants (article 2, paragraphe 1, de l'accord), ce qui contribue à donner à la proposition un caractère plus équilibré par rapport à l'accord conclu avec les États-Unis. Troisièmement, la liste des données PNR à transférer est plus limitée et ne comprend pas de «catégories ouvertes» de données «passagers» qui pourraient révéler des informations sensibles. Enfin, l'accord bénéficie d'un système législatif de protection des données beaucoup plus développé, offrant une protection à la personne concernée, y compris un contrôle par un commissaire indépendant à la protection de la vie privée. Néanmoins, la législation canadienne n'offre pas une totale protection aux citoyens de l'Union européenne. Les engagements pris par les autorités canadiennes visent à combler cette lacune.

3. Incidences sur la directive 95/46/CE

7. Dans le système institué par la directive 95/46/CE, le transfert de données vers un pays tiers rentre dans la définition du traitement des données à caractère personnel (conformément à l'article 2, point b), de la directive, «toute opération ou ensemble d'opérations appliqués à des données à caractère personnel») et, par conséquent, les dispositions du Chapitre II de la directive («les conditions générales de licéité des traitements de données à caractère personnel») s'appliquent au transfert. Le sens de l'article 25 de la directive est, dans ce contexte, d'instituer une mesure de sauvegarde supplémentaire en cas de transfert vers un pays tiers, étant donné que, dès le moment du transfert, les données ne relèvent plus de la compétence juridictionnelle d'un État membre.

8. La proposition d'accord avec le Canada, lue en liaison avec la décision de la Commission, oblige les compagnies aériennes à transférer des données vers le Canada. Il convient de vérifier si cette obligation les empêche de remplir les obligations qui leur sont imposées par la législation nationale mettant en œuvre la directive 95/46/CE, et en particulier le Chapitre II et de ce fait, compromet l'effet utile de la directive.

9. L'article 5 de la proposition oblige les compagnies aériennes à traiter les données API/PNR contenues dans leur système informatique de contrôle des réservations et des départs conformément aux exigences des autorités canadiennes compétentes selon le droit canadien. La proposition ne spécifie pas que le droit communautaire, et plus spécialement les règles relatives au traitement des données à caractère personnel prévues au Chapitre II de la directive 95/46/CE, s'appliquent. En l'absence d'une disposition en ce sens, les transporteurs aériens peuvent se voir obligés de traiter les données, même si ce traitement ne respecte pas pleinement les dispositions du Chapitre II de la directive 96/46/CE. La seule obligation à laquelle ils sont soumis est d'agir conformément aux dispositions de fond du droit canadien.

10. S'il est vrai, comme cela a été indiqué plus haut et comme on l'expliquera plus loin dans le présent avis, que le Canada dispose d'un système législatif développé de protection des données et qu'il n'y a absolument aucune raison de soutenir que la législation canadienne sur la protection des données porte gravement préjudice aux intérêts de la personne concernée au sein de la Communauté européenne, il n'y a pas davantage de raison de présumer que la législation canadienne est totalement conforme à toutes les dispositions du Chapitre II de la directive 95/46/CE. Ni l'accord, ni l'exposé des motifs ne permettent de justifier une telle présomption. Celle-ci est d'ailleurs inconcevable étant donné que les autorités canadiennes ne sont liées par aucune interprétation (future) qui serait donnée à cette directive par la Cour de Justice, et qu'inversement, il est impossible de garantir que les modifications ultérieures du droit canadien (ou les nouvelles interprétations données par la justice canadienne) seront conformes au droit communautaire.

11. Se fondant sur cette analyse, le CEDP conclut que l'accord implique une modification de la directive 95/46/CE. À cet effet, et indépendamment de tout préjudice sérieux éventuel pour la personne concernée, l'avis conforme du Parlement européen est requis, conformément à l'article 300, paragraphe 3, du Traité CE.

12. A cet égard, le CEPD considère, de manière générale, que les questions institutionnelles sortent du cadre de sa mission. Cependant, dans le cas présent, le CEPD exprime son point de vue sur une question de ce type, étant donné que le non-respect des prérogatives du Parlement débouche sur une modification de la directive et, de ce fait, a des répercussions sur le niveau de protection des données sur le territoire de la Communauté européenne.

13. Une autre solution consisterait à modifier l'accord, en prévoyant que le traitement des données API/PNR par les compagnies européennes doit être conforme à la directive 95/46/CE. L'ajout d'une disposition en ce sens permettrait d'éviter de devoir modifier la directive.

4. Concernant le contenu de l'accord avec le Canada

4.1 Approbation des principaux éléments de la proposition

14. Sans préjudice des exigences de procédure prévues pour l'adoption de la proposition, le CEDP a examiné l'accord proposé, sur le plan du contenu, afin d'établir s'il protège suffisamment la personne concernée, en particulier ses droits fondamentaux au sens de l'article 6 du Traité UE.

15. Le CEPD relève les grandes différences qui distinguent cette proposition de l'accord conclu avec les États-Unis d'Amérique (voir plus haut, point 6). Il apparaît que, sur trois points importants, les points faibles de l'accord précité ne concernent pas la proposition examinée, ou, du moins pas dans la même mesure.

16. Le CEPD constate, en outre, que le Groupe «Article 29» de protection des personnes à l'égard du traitement des données à caractère personnel, a approuvé, dans son avis du 19 janvier 2005, les principaux éléments de la (proposition de) décision de la Commission concernant le niveau adéquat de protection offert par l'Agence des services frontaliers du Canada (ASFC). Les engagements souscrits par l'ASFC (qui figurent à l'annexe de la décision de la Commission) ont joué un rôle important dans son évaluation. Le CEPD souscrit aux conclusions du Groupe «Article 29», en tenant également compte du fait que le commissaire à la protection de la vie privée du Canada approuve le principe de fixer des limites à l'accessibilité pour la consultation des données API/PNR à des fins gouvernementales et à des fins de répression (3).

17. Le CEPD considère qu'il est très important que le mécanisme de transfert «push», mis en place pour les données API et PNR, permette à la compagnie aérienne européenne de contrôler le traitement et le transfert de données. Ces activités relèvent dès lors de la compétence de l'État membre et c'est le droit communautaire qui s'applique.

18. Il importe également de noter que l'article 2 de la proposition stipule explicitement que les parties à l'accord conviennent que les données API/PNR seront traitées comme énoncé dans les engagements. Ceux-ci, tels qu'annexés à la décision de la Commission, sont dès lors contraignants.

19. Enfin, le CEPD souligne l'importance d'instituer un comité mixte qui organisera notamment des réexamens communs. Cela permettra de contrôler la mise en œuvre des instruments législatifs. Ce contrôle est d'autant plus important que les instruments législatifs sont nouveaux et que l'on manque encore d'expérience en ce qui concerne la mise en œuvre de ce type d'instruments.

20. Dans ce contexte et à la lumière de l'analyse prévue au point 4.2 du document stratégique mentionné au point 1 du présent avis, le CEPD approuve les principaux éléments de la proposition et limite ses observations à certains points spécifiques, s'intéressant plus particulièrement: — au nombre et la nature des données API/PNR devant faire l'objet d'un transfert; — à la finalité du traitement, qui ne se limite pas à la lutte contre le terrorisme, mais se rapporte également à tout autre délit grave de nature transnationale; — à l'article 3 relatif à l'accès, à la correction et à l'annotation.

4.2 Nombre et nature des données API/PNR

21. L'annexe II à la proposition ne contient pas de données sensibles au sens où l'entend l'article 8 de la directive 95/46/CE, et ne contient pas davantage de «catégories ouvertes» de données «passagers» qui seraient de nature, selon la manière dont le formulaire est complété, à révéler des données sensibles (des préférences alimentaires, par exemple, révélant les convictions religieuses ou des informations relatives à la santé).

22. Toutefois, la liste des éléments des données PNR à collecter (figurant à l'annexe II de la proposition) comprend des données qui peuvent présenter un intérêt pour la protection des droits fondamentaux du passager, en particulier sa vie privée. Le CEPD mentionne la catégorie 10 (Informations «grands voyageurs»), qui pourrait révéler des informations sur le comportement du passager (bien que toutes les informations «grand voyageur» ne soient pas incluses) et la catégorie 23 (Informations APIS éventuellement recueillie), qui, outre le nom du passager, comporte aussi d'autres informations relatives à son passeport.

23. Le CEPD n'est pas convaincu que l'insertion de ces catégories soit nécessaire et proportionnelle et propose de reconsidérer la nécessité d'inclure ces catégories à l'annexe de l'accord. Néanmoins, le fait que ces catégories figurent sur la liste des données n'est en soi pas suffisamment grave pour nécessiter une renégociation de l'accord et, de l'avis du CEPD, ne devrait pas conduire à l'annulation de l'accord.

4.3 La finalité du traitement

24. Comme nous l'avons vu précédemment à propos des instruments législatifs qui nécessitent le traitement de données personnelles dans le cadre de la lutte contre le terrorisme, le législateur n'a pas limité la finalité du traitement au terrorisme proprement dit, mais a étendu à d'autres formes graves de criminalité voire, dans certains cas, à la lutte contre la criminalité en général, les finalités qui autorisent le traitement.

25. La présente proposition mentionne la lutte contre d'autres formes graves de criminalité transnationale, y compris la criminalité organisée. Conformément aux Engagements souscrits par l'ASFC (point 12), les informations ne peuvent être transmises à d'autres départements canadiens que pour les mêmes finalités. Les informations ne seront partagées avec les autorités de pays tiers que pour ces mêmes finalités et pour autant que la Commission ait constaté le caractère adéquat du niveau de protection offert par le pays tiers concerné, conformément à l'article 25 de la directive 95/46/CE. Cette limitation des finalités ne viole en soi ni les dispositions de la directive, ni les principes qui la sous-tendent.

4.4 Protection de la personne concernée

26. L'accord comporte des dispositions explicites visant à protéger les intérêts de la personne concernée. Le CEPD attire expressément l'attention sur l'article 3 de l'accord, relatif à l'accès, à la correction et à l'annotation. Selon cette disposition, toute personne concernée résidant sur le territoire de l'Union européenne peut exercer les droits d'accès, de correction et d'annotation dans les mêmes conditions que les résidents canadiens.

27. Le fait d'accorder ces droits ne suffit pas en soi pour assurer la protection nécessaire à la personne concernée. Il faut encore veiller à ce que celle-ci ait la possibilité de les exercer effectivement.

28. Le champ d'application et le contenu de ces droits sont définis par le droit canadien. Si l'on veut assurer la protection nécessaire au citoyen européen concerné, il faut que la législation correspondante lui soit accessible et qu'il puisse également prévoir les conséquences qui en découlent pour lui. Afin de satisfaire à cette obligation, le Groupe «Article 29» de protection des personnes à l'égard du traitement des données à caractère personnel a proposé d'annexer le cadre réglementaire canadien concerné à la décision de la Commission.

29. Cette suggestion n'a pas été suivie, mais la décision de la Commission et les engagements souscrits par l'ASFC donnent des explications sur le cadre juridique concerné. Les passagers aériens peuvent prendre connaissance de leurs droits en se référant aux points correspondants des engagements.

30. Le CEPD fait observer qu'il est sans doute important que le passager aérien résidant dans la Communauté européenne puisse avoir accès aux textes des instruments législatifs, mais qu'il est tout aussi important qu'il dispose d'un accès réel aux voies de recours.

31. A cet égard, le CEPD approuve la procédure qui est exposée au point 31 des engagements. Conformément à cette procédure, le commissaire à la protection de la vie privée du Canada peut examiner les plaintes qui lui sont transmises par les autorités de protection des données de tout État membre pour le compte d'un résident de l'Union européenne. Selon le CEPD, ce type de procédure pourrait même se révéler plus efficace en pratique que si un droit formel d'agir devant les tribunaux canadiens était reconnu aux résidents européens.

5. Conclusions

32. Le CEPD présente les conclusions suivantes: — Le présent avis devrait figurer dans le préambule de la décision du Conseil. — Le CEPD aurait dû être consulté sur la décision de la Commission, prise en application de l'article 25, paragraphe 6, de la directive 95/46/CE, en vertu de laquelle l'Agence des services frontaliers du Canada (ASFC) est censée assurer un niveau de protection adéquat des données API/PNR. — Conformément à l'article Article 300, paragraphe 3, du Traité CE, l'avis conforme du Parlement européen est requis. — Une autre solution possible serait de modifier l'accord afin de prévoir que le traitement des données API/PNR par les compagnies aériennes européennes doit être conforme à la directive 95/46/CE. — Le CEPD approuve les principaux éléments de l'accord proposé.

Fait à Bruxelles, le 15 juin 2005. Peter HUSTINX Contrôleur européen de la protection des données

(1) Affaire C-317/04, actuellement pendante devant la Cour de justice.

(2) Il s'agit d'un groupe consultatif indépendant composé de représentants des autorités des États membres compétentes en matière de protection des données, du CEPD et de la Commission, qui a été instauré par la directive 95/46/CE. Le CEPD fait référence à l'avis 3/2004 sur le niveau de protection assuré au Canada à la transmission, par les compagnies aériennes, des dossiers passagers et d'informations anticipées sur les voyageurs (11 février 2004) et à l'avis 1/2005 sur le niveau de protection assuré au Canada à la transmission, par les compagnies aériennes, des dossiers passagers et d'informations anticipées sur les voyageurs (19 janvier 2005).

(3) Voir la déclaration du Commissaire du 9 avril 2003 (http://www.privcom.gc.ca/keyIssues/ki-qc/mc-ki-api_e.asp).