En mars 2019, le comité des transports aériens de l’OACI a mis en place un groupe de travail sur la facilitation du transport aérien chargé d’examiner les propositions concernant les SARP pour la collecte, l’utilisation, le traitement et la protection des données PNR, conformément à la résolution 2396 (2017) du Conseil de sécurité des Nations unies. Le groupe de travail est chargé: a) de réexaminer les SARP existantes relatives aux données PNR figurant au chapitre 9 de l’annexe 9 de la convention de Chicago; b) de déterminer si elles doivent être complétées par des SARP et/ou des documents d’orientation supplémentaires, compte tenu de la décision et des considérations du Conseil de sécurité; et c) de mettre au point, le cas échéant, de nouvelles dispositions (normes, pratiques recommandées et/ou documents d’orientation) pour la collecte, l’utilisation, le traitement et la protection des données PNR.

La résolution 2396 du Conseil de sécurité des Nations unies, adoptée le 21 décembre, impose aux États membres des Nations unies de «développer la capacité de recueillir, traiter et analyser, conformément aux normes et aux pratiques recommandées de l’OACI, les données des dossiers passagers (PNR), et de veiller à ce que les données PNR soient utilisées et partagées avec toutes leurs autorités nationales compétentes, dans le plein respect des droits de l’homme et des libertés fondamentales». La résolution invite également l’OACI «à collaborer avec ses États membres pour établir une norme pour la collecte, l’utilisation, le traitement et la protection des données PNR».

L’OACI est une institution spécialisée des Nations unies. Les objectifs de l’Organisation sont d’élaborer les principes et les techniques de la navigation aérienne internationale et de promouvoir la planification et le développement du transport aérien international.

Le traitement des données PNR constitue un instrument essentiel de la réponse commune de l’UE au terrorisme et aux formes graves de criminalité et une composante majeure de l’union de la sécurité. L’identification et le traçage des schémas de déplacement suspects par le traitement des données PNR afin de recueillir des éléments de preuve et, le cas échéant, de trouver les auteurs d’infractions graves et leurs complices et de démanteler les réseaux criminels s’avèrent essentiels pour prévenir et détecter les infractions terroristes et les formes graves de criminalité, ainsi que pour mener les enquêtes et les poursuites en la matière.

Le 27 avril 2016, le Parlement européen et le Conseil ont adopté la directive (UE) 2016/681 relative à l’utilisation des données PNR aux fins de la prévention et de la détection des infractions terroristes et des formes graves de criminalité, ainsi que des enquêtes et des poursuites en la matière. Cette directive permet aux autorités nationales d’accéder directement aux informations cruciales détenues par les compagnies aériennes, dans le plein respect des droits en matière de protection des données. Elle fournit à tous les États membres un outil important pour prévenir et détecter les infractions terroristes et les formes graves de criminalité, notamment le trafic de drogue, la traite des êtres humains et l’exploitation sexuelle des enfants, et procéder aux enquêtes en la matière. Le délai imparti aux États membres pour transposer la directive PNR en droit national était fixé au 25 mai 2018.

Afin de faciliter le processus de connexion des transporteurs aériens aux unités de renseignements passagers des États membres – les unités chargées de la collecte et du traitement des données PNR – la Commission européenne a adopté, le 28 avril 2017, une décision d’exécution relative aux protocoles communs et aux formats de données à utiliser par les transporteurs aériens lors du transfert des données PNR aux États membres. La décision d’exécution est entrée en vigueur en avril 2018.

Il existe actuellement deux accords internationaux en vigueur entre l’UE et des pays tiers (à savoir l’Australie et les États-Unis) sur le traitement et le transfert des données PNR. Le 26 juillet 2017, la Cour de justice de l’Union européenne a adopté un avis sur l’accord envisagé entre l’UE et le Canada, signé le 25 juin 2014. La Cour a décidé que l’accord ne pouvait pas être conclu sous sa forme prévue parce que certaines de ses dispositions étaient incompatibles avec les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel reconnus par l’UE. En particulier, la Cour a établi d’autres exigences légales en ce qui concerne la surveillance par une autorité indépendante, les données sensibles, le traitement automatisé des données PNR, les finalités pour lesquelles les données PNR peuvent être traitées, ainsi que la conservation, l’utilisation, la divulgation et le transfert ultérieur des données PNR. À la suite de l’autorisation accordée par le Conseil à la Commission en décembre 2017, de nouvelles négociations sur les données PNR avec le Canada ont été lancées en juin 2018. Lors du 17e sommet UE-Canada qui s’est tenu à Montréal les 17 et 18 juillet 2019, l’UE et le Canada se sont félicités de la conclusion de ces négociations. Le Canada a fait observer qu'il devait encore soumettre l'accord à un examen juridique, mais les parties se sont engagées, sous réserve de cet examen, à finaliser l’accord dès que possible, reconnaissant que celui-ci joue un rôle essentiel pour renforcer la sécurité tout en garantissant le respect de la vie privée et la protection des données à caractère personnel.

Un nombre croissant de pays tiers collectent des données PNR auprès des transporteurs aériens et plusieurs d’entre eux ont pris contact avec la Commission ces dernières années pour manifester leur intérêt à conclure un accord international sur les PNR avec l’UE. En l’absence de base juridique, les transporteurs aériens sont confrontés à une situation de conflit de lois et risquent de se voir infliger des amendes et d’autres sanctions. Parallèlement, à la suite de la mise en œuvre de la directive PNR, les États membres de l’UE demandent aux transporteurs aériens des pays tiers de transférer les données PNR vers leurs unités de renseignements passagers. Un certain nombre de pays tiers ont refusé d’effectuer de tels transferts — et d’autres ont menacé de refuser — en invoquant un manque de réciprocité, compromettant ainsi l’efficacité du mécanisme PNR de l’UE.

L’article 3, paragraphe 2, du traité sur le fonctionnement de l’Union européenne (TFUE) établit que l’Union dispose d’une compétence exclusive «pour la conclusion d’un accord international (...) dans la mesure où elle est susceptible d’affecter des règles communes ou d’en altérer la portée». Un accord international peut affecter des règles communes ou en altérer la portée lorsque le domaine qu'il régit recouvre la législation de l'Union ou est déjà couvert en grande partie par le droit de l'Union. En outre, pour déterminer si un domaine est déjà largement couvert par des règles communes, il convient de prendre en compte non seulement l’état actuel du droit de l'Union dans le domaine concerné, mais également ses perspectives d’évolution, dans la mesure où celles-ci sont prévisibles au moment de cette analyse.

Compte tenu des règles communes susmentionnées et du prochain réexamen prévu à l’article 19 de la directive 2016/681, il peut être conclu que les matières couvertes par la proposition de décision relèvent de la compétence exclusive de l’Union.

3.Position à prendre au nom de l’Union

Étant donné l’importance de cette question pour la politique intérieure et extérieure de l’UE et compte tenu de ce qui précède, il est nécessaire d’établir une position de l’Union sur les transferts de données PNR aux fins des travaux (multilatéraux) en cours au niveau de l’OACI. En particulier, l’UE devrait veiller à ce que les principes fondamentaux sur les modalités de transmission et de traitement des données PNR et sur la protection des données à caractère personnel — à définir dans la position commune — soient intégrés dans les nouvelles normes PNR de l’OACI. À cet égard, il est essentiel d’orienter les discussions sur ces nouvelles normes PNR au sein de l’OACI d’une manière qui soit compatible avec le cadre réglementaire de l’UE et avec la jurisprudence pertinente de la Cour de justice, notamment en ce qui concerne les droits fondamentaux au respect de la vie privée et à la protection des données.

La position de l’Union, qui se rapporte à la fois à la décision finale du Conseil de l’OACI et aux discussions préparatoires dans d’autres organes de l’OACI, est définie conformément au cadre juridique de l’Union applicable en matière de protection des données et de PNR, à savoir le règlement (UE) 2016/679, la directive (UE) 2016/680 et la directive (UE) 2016/681, ainsi que le traité et la charte des droits fondamentaux tels qu’ils sont interprétés dans la jurisprudence pertinente de la Cour de justice de l’Union européenne, en particulier l’avis 1/15 de la Cour.

4.Base juridique

4.1.Base juridique procédurale

4.1.1.Principes

L’article 218, paragraphe 9, du traité sur le fonctionnement de l’Union européenne (TFUE) prévoit des décisions établissant «les positions à prendre au nom de l’Union dans une instance créée par un accord, lorsque cette instance est appelée à adopter des actes ayant des effets juridiques, à l’exception des actes complétant ou modifiant le cadre institutionnel de l’accord».

L’article 218, paragraphe 9, du TFUE s’applique, que l’Union soit ou non membre de l’instance concernée ou partie à l’accord.

La notion d’«actes ayant des effets juridiques» englobe les actes qui ont des effets juridiques en vertu des règles de droit international régissant l’instance en question. Elle englobe également des instruments auxquels le droit international ne confère aucun effet contraignant, mais qui sont «de nature à influencer de manière déterminante le contenu de la législation adoptée par le législateur de l’Union».

4.1.2.Application en l’espèce

Le Conseil de l’OACI est une instance créée par un accord, en l’occurrence par la convention de Chicago.

Toute modification du chapitre 9 de l’annexe 9 de la convention de Chicago adoptée par le Conseil de l’OACI conformément à l’article 54, point l), de la convention constitue un acte ayant des effets juridiques. Une telle modification est de nature à influencer de manière déterminante le contenu de la législation de l’UE, notamment la directive (UE) 2016/681, ainsi que les accords internationaux existants et futurs sur les PNR entre l’UE et les pays tiers.