Résumé de l’avis du Contrôleur européen de la protection des données sur le mandat de négociation d’un accord entre l’Union européenne et le Japon pour le transfert et l’utilisation de données des dossiers passagers

(Le texte complet de l’avis en allemand, anglais et français est disponible sur le site internet du CEPD, www.edps.europa.eu)

(2019/C 419/04)

Le 27 septembre 2019, la Commission européenne a adopté une recommandation de décision du Conseil autorisant l’ouverture de négociations en vue de la conclusion d’un accord entre l’Union européenne et le Japon aux fins du transfert et de l’utilisation de données des dossiers passagers (Passenger Name Record-PNR) afin de prévenir et de combattre le terrorisme et d’autres formes graves de criminalité transnationale. L’accord envisagé a pour objet d’établir la base juridique et les conditions dans lesquelles les transporteurs aériens seront autorisés à transférer vers le Japon les données PNR des passagers voyageant entre l’Union européenne et le Japon, conformément aux exigences du droit de l’Union, y compris la Charte des droits fondamentaux de l’Union européenne.

Le CEPD se félicite du fait que le mandat de négociation vise à garantir le plein respect des libertés et des droits fondamentaux consacrés à l’article 7 et à l’article 8 de la Charte des droits fondamentaux de l’Union, ainsi que des principes de nécessité et de proportionnalité, tels qu’interprétés par la Cour de justice dans son avis 1/15 sur l’accord PNR entre l’Union européenne et le Canada.

Compte tenu de l’incidence de l’accord envisagé sur les droits fondamentaux d’un très grand nombre de personnes qui ne sont pas impliquées dans une activité criminelle, le CEPD estime que cet accord devrait comporter toutes les garanties matérielles et procédurales nécessaires pour assurer la proportionnalité du système PNR et pour limiter l’ingérence dans le droit au respect de la vie privée et le droit à la protection des données à ce qui est strictement nécessaire et justifié par l’intérêt général de l’Union. À cet effet, le CEPD formule un certain nombre de recommandations visant à améliorer les directives de négociation, et notamment:

— l’adoption d’une approche stricte quant à la nécessité et à la proportionnalité du système PNR,

— conformément au principe de limitation de la finalité, toute utilisation ultérieure des données PNR transférées à d’autres fins devrait être dûment justifiée, définie d’une manière claire et précise et limitée à ce qui est strictement nécessaire,

— la décision du Conseil autorisant l’ouverture de négociations devrait renfermer une référence non seulement à la base juridique procédurale, mais également à la base juridique matérielle, y compris l’article 16 du traité sur le fonctionnement de l’Union européenne («TFUE»),

— il convient d’accorder une attention particulière à la prévention du risque de divulgation indirecte de catégories particulières de données relatives aux passagers aériens, ainsi qu’à la prévention du risque de réidentification des personnes physiques après l’anonymisation des données PNR les concernant,

— l’accord envisagé devrait renfermer des clauses permettant de le suspendre en cas d’infraction aux règles qu’il prévoit, et de le résilier si le manquement est grave et persistant.

Le CEPD formule d’autres recommandations détaillées dans le présent avis.

Le CEPD se tient à la disposition des institutions pour tout conseil complémentaire au cours des négociations. Il escompte également être consulté à des stades ultérieurs de la finalisation du projet d’accord, conformément à l’article 42 du règlement (UE) 2018/1725 du Parlement européen et du Conseil (1).

I. INTRODUCTION ET CONTEXTE

1. Le 27 septembre 2019, la Commission européenne a adopté une recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne (UE) et le Japon aux fins du transfert et de l’utilisation de données des dossiers passagers (Passenger Name Record-PNR) afin de prévenir et de combattre le terrorisme et d’autres formes graves de criminalité transnationale. L’annexe de la recommandation (ci-après l’«annexe») établit les directives de négociation du Conseil à l’intention de la Commission, c’est-à-dire les objectifs que celle-ci devrait s’efforcer d’atteindre au nom de l’Union européenne au cours des négociations.

2. La recommandation a été adoptée conformément à la procédure établie à l’article 218 du TFUE relativement aux accords conclus entre l’Union et les pays tiers. Par cette recommandation, la Commission vise à obtenir du Conseil l’autorisation de négocier au nom de l’Union et à engager les négociations avec le Japon, conformément au mandat de négociation. Une fois les négociations terminées, et en vue de conclure l’accord, le Parlement européen devra approuver le texte de l’accord négocié, puis le Conseil adoptera une décision visant à déclarer cet accord conclu formellement.

3. Le cadre juridique pour le traitement de données PNR dans l’Union européenne est la directive (UE) 2016/681 du Parlement européen et du Conseil relative à l’utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière (la «directive PNR»), adoptée le 27 avril 2016. Les États membres étaient tenus de mettre en œuvre les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à la directive PNR au plus tard le 25 mai 2018. La Commission européenne doit procéder au premier réexamen de la directive PNR au plus tard le 25 mai 2020.

4. À l’heure actuelle, il existe deux accords internationaux conclus en 2011 entre l’Union européenne et des pays tiers concernant le traitement et le transfert de données PNR, l’un avec l’Australie ( 2 ) et l’autre avec les États-Unis ( 3 ) . À la demande du Parlement européen et conformément à l’article 218, paragraphe 11, du TFUE, la Cour de justice de l’Union européenne (CJUE) a rendu l’avis 1/15 du 26 juillet 2017 ( 4 ) sur l’accord envisagé entre l’Union européenne et le Canada sur le transfert et le traitement de données PNR, signé le 25 juin 2014. La Cour a conclu que l’accord est incompatible avec les articles 7, 8 et 21 ainsi qu’avec l’article 52, paragraphe 1, de la Charte des droits fondamentaux de l’Union européenne (ci-après la «Charte») en tant qu’il n’exclut pas le transfert des données sensibles depuis l’Union vers le Canada ni l’utilisation et la conservation de ces données. En outre, la Cour a défini un certain nombre de conditions et de garanties pour assurer le traitement et le transfert licites de données PNR. Sur la base de l’avis 1/15, de nouvelles négociations PNR ont été engagées avec le Canada en juin 2018, négociations qui, selon la Commission, sont en phase finale.

5. À l’échelle internationale, la question des données PNR est traitée dans la Convention relative à l’aviation civile internationale (la «Convention de Chicago») de 1947, qui réglemente le transport aérien international et a instauré l’Organisation de l’aviation civile internationale (OACI). Le Conseil de l’OACI a adopté les normes et pratiques recommandées en matière de PNR, qui font partie de l’annexe 9 («Facilitation») de la Convention de Chicago. Elles sont complétées par des orientations supplémentaires, notamment le Document 9944 de l’OACI établissant les «Lignes directrices sur les données des dossiers passagers (PNR)» ( 5 ) . Tous les États membres de l’Union européenne sont parties à la Convention de Chicago.

6. En outre, la résolution 2396 (2017) du Conseil de sécurité des Nations unies sur les menaces contre la paix et la sécurité internationales causées par le retour des combattants terroristes étrangers, adoptée le 21 décembre 2017, impose aux États membres des Nations unies de «renforcer leur capacité de collecter, de traiter et d’analyser, dans le cadre des normes et pratiques recommandées de l’OACI, les données des dossiers passagers (PNR) et de veiller à ce que ces données soient communiquées à toutes les autorités nationales compétentes et utilisées par celles-ci, dans le plein respect des droits de l’homme et des libertés fondamentales» et «encourage, le cas échéant, les États membres à communiquer les données PNR aux États membres concernés afin de détecter les combattants terroristes étrangers» ( 6 )

7. Le CEPD se réjouit d’avoir été consulté à la suite de l’adoption de la recommandation par la Commission européenne, et il espère qu’une référence au présent avis sera incluse dans le préambule de la décision du Conseil. Le présent avis est délivré sans préjudice des commentaires supplémentaires que le CEPD pourrait formuler ultérieurement sur la base des informations disponibles.

V. CONCLUSIONS

34. Le CEPD se félicite du fait que le mandat de négociation vise à garantir le plein respect des libertés et des droits fondamentaux consacrés à l’article 7 et à l’article 8 de la Charte, ainsi que des principes de nécessité et de proportionnalité, tels qu’interprétés par la Cour de justice dans son avis 1/15 sur l’accord PNR entre l’Union européenne et le Canada.

35. Compte tenu de l’incidence de l’accord envisagé sur les droits fondamentaux d’un très grand nombre de personnes qui ne sont pas impliquées dans une activité criminelle, le CEPD estime que le futur accord devrait comporter toutes les garanties matérielles et procédurales nécessaires qui, prises dans leur ensemble, permettront d’assurer la proportionnalité du système PNR et de limiter l’ingérence dans le droit au respect de la vie privée et le droit à la protection des données à ce qui est strictement nécessaire et justifié par l’intérêt général de l’Union.

36. À cette fin, le CEPD souligne, en tant que recommandation principale, le besoin d’une approche stricte en ce qui concerne la nécessité et la proportionnalité du système PNR. En outre, une attention particulière devrait être accordée à la mise en œuvre pratique du principe de limitation de la finalité en ce qui concerne l’utilisation des données PNR transférées. Par ailleurs, le CEPD réitère sa position, déjà exprimée dans des avis antérieurs ( 7 ) , selon laquelle la décision du Conseil autorisant l’ouverture de négociations en vertu de l’article 218 du TFUE devrait comporter une référence non seulement à la base juridique procédurale, mais aussi à la base juridique matérielle pertinente, qui devrait comprendre l’article 16 du TFUE.

37. Les recommandations supplémentaires formulées par le CEPD dans le présent avis concernent le cadre juridique approprié pour le transfert de données opérationnelles à caractère personnel, la nécessité de prévenir le risque d’une divulgation indirecte de catégories particulières de données concernant les passagers aériens, ainsi que le risque de réidentification des personnes physiques après l’anonymisation des données PNR les concernant. Le CEPD souligne également la nécessité de clarifier la surveillance indépendante du traitement de données PNR par les autorités japonaises compétentes, surveillance qui constitue l’une des garanties essentielles du droit à la protection des données. En outre, le CEPD recommande l’introduction de clauses permettant de suspendre le futur accord en cas d’infraction à ses dispositions et de le résilier si le manquement est grave et persistant.

38. Le CEPD reste à la disposition de la Commission, du Conseil et du Parlement européen pour fournir des conseils au cours des étapes ultérieures de ce processus. Les commentaires du présent avis sont sans préjudice des observations supplémentaires que le CEPD pourrait faire ultérieurement, notamment si de nouveaux problèmes étaient soulevés et abordés par le CEPD à la lumière d’informations complémentaires. À cette fin, le CEPD s’attend à être ultérieurement consulté à propos des dispositions du projet d’accord avant que celui-ci ne soit finalisé.

Bruxelles, le 25 octobre 2019. Wojciech Rafał WIEWIÓROWSKI Contrôleur européen de la protection des données

(1) JO L 295 du 21.11.2018, p. 39.

(2) JO L 186 du 14.7.2012, p. 4.

(3) JO L 215 du 11.8.2012, p. 5.

(4) Avis 1/15 de la Cour de justice du 26 juillet 2017 rendu en vertu de l’article 218, paragraphe 11, du TFUE, sur le projet d’accord entre le Canada et l’Union européenne sur le transfert et le traitement de données PNR (ECLI:EU:C:2017:592).

(5) OACI, Doc. 9944, Lignes directrices sur les données des dossiers passagers (PNR), première édition — 2010.

(6) Résolution 2396 (2017) du Conseil de sécurité sur les menaces contre la paix et la sécurité internationales causées par le retour des combattants terroristes étrangers, adoptée par le Conseil de sécurité à sa 8148e séance, le 21 décembre 2017, point 12.

(7) Voir l’avis 2/2019 du CEPD sur le mandat de négociation d’un accord UE-États-Unis sur l’accès transfrontalier aux preuves électroniques et l’avis 3/2019 du CEPD concernant la participation aux négociations en vue d’un deuxième protocole additionnel à la convention de Budapest sur la cybercriminalité, disponible à l’adresse suivante: https://edps.europa.eu/sites/edp/files/publication/19-04-02_edps_opinion_on_eu_us_agreement_on_e-evidence_en.pdf et

https://edps.europa.eu/sites/edp/files/publication/19-04-02_edps_opinion_budapest_convention_en.pdf