P6_TA(2007)0039

Nouvel accord "PNR", SWIFT

Résolution du Parlement européen sur SWIFT, l'accord PNR et le dialogue transatlantique sur ces questions

Le Parlement européen,

- vu les déclarations du Conseil et de la Commission au cours du débat qui s'est tenu le 31 janvier 2007 au Parlement, à la suite de la question orale sur SWIFT, ainsi que les négociations en vue de la conclusion d'un nouvel accord sur les données des dossiers passagers (PNR) entre l'Union européenne et les États-Unis,

- vu la lettre du 30 janvier 2007 par laquelle la Banque centrale européenne (BCE) répondait à la question qui lui avait été posée, quant au fait qu'elle n'avait pas informé les autorités compétentes en matière de protection des données et les banques nationales des pratiques américaines en matière d'accès aux données afférentes à des transactions financières générées par SWIFT, ni fait usage de son pouvoir de pression morale sur SWIFT dans cette affaire,

- vu l'avis du groupe de travail sur la protection des personnes physiques à l'égard du traitement des données à caractère personnel, tel que prévu par l'article 29 de la directive sur la protection des données [1] (le groupe de travail "article 29") sur le futur accord PNR et du Contrôleur européen de la protection des données (CEPD) en ce qui concerne le rôle de la BCE dans le cas de SWIFT, (le groupe de travail "article 29"),

- vu l'article 103, paragraphe 2, de son règlement,

A. considérant que le partage des données et des informations constitue un instrument précieux dans la lutte internationale contre le terrorisme et la criminalité qui lui est liée,

B. considérant que les entreprises exerçant des activités sur les deux rives de l'Atlantique se trouvent de plus en plus confrontées à des exigences juridiques contradictoires des juridictions des États-Unis et de l'Union européenne,

C. considérant que le partage des données à caractère personnel doit se faire sur une base juridique appropriée, être soumis à des règles et conditions claires, et s'inscrire dans le cadre d'une protection adéquate de la vie privée et des libertés publiques de chaque citoyen,

D. considérant que la lutte contre le terrorisme et la criminalité doit reposer sur une véritable légitimité démocratique, ce qui signifie que les programmes de partage des données doivent en permanence faire l'objet d'un contrôle démocratique et judiciaire.

Généralités

1. souligne qu'au cours de ces dernières années, plusieurs accords fondés sur des exigences américaines et adoptés en l'absence de toute participation du Parlement — notamment l'accord PNR et le mémorandum SWIFT — ainsi que l'existence du système de ciblage automatique américain (ATS) ont créé une situation d'incertitude juridique en ce qui concerne les garanties requises en matière de protection des données pour le partage et le transfert des données entre l'Union européenne et les États-Unis aux fins de garantir la sécurité publique et, en particulier, prévenir et combattre le terrorisme;

2. réaffirme que les solutions envisagées jusqu'ici par le Conseil et la Commission, ainsi que par des entreprises privées ne protègent pas suffisamment les données à caractère personnel des citoyens de l'Union européenne (comme le constate également la lettre de M. Schaar, président du groupe de travail "article 29" concernant le nouvel accord intérimaire PNR) et qu'il pourrait s'agir là d'une violation du droit non seulement communautaire mais aussi national, comme dans le cas de SWIFT (voir l'avis 10/2006 du 22 novembre 2006 du groupe de travail "article 29" et l'avis du 1 février 2007 du CEPD);

3. constate que dans le contexte de la lutte contre le terrorisme, le Congrès américain a invité depuis un certain temps l'administration américaine à adopter des mesures davantage ciblées qui garantissent mieux la protection de la vie privée et qui sont soumises à un contrôle parlementaire et judiciaire (comme il avait été demandé quand le Congrès américain avait appris l'existence du programme d'écoutes téléphoniques de l'Agence de sécurité nationale (NSA));

4. confirme ses réserves, que le Congrès américain a récemment fait siennes, en ce qui concerne la méthode de profilage et d'exploitation des données, qui consiste à accumuler, de façon indiscriminée, des quantités de plus en plus importantes de données à caractère personnel, comme dans le cas de l'ATS auquel recourt l'administration américaine;

5. se félicite de ce que l'administration américaine ait récemment pris acte de ces réserves et qu'elle s'efforcera d'améliorer la situation sur la base des mesures suivantes:

a) la désignation de responsables de la protection de la vie privée et/ou la mise en place d'une agence indépendante de protection de la vie privée au sein de l'administration fédérale, chargés de réaliser des évaluations sous l'angle de la protection de la vie privée pour toutes les initiatives qui pourraient avoir des répercussions sur celle-ci,

b) la mise en place d'un mécanisme garantissant aux citoyens américains un droit de recours en cas d'utilisation incorrecte de leurs données;

6. estime toutefois que ces améliorations sont insuffisantes en ce qui concerne la protection des données des citoyens de l'Union européenne présents sur le territoire américain et qu'il conviendrait véritablement que la loi de 1974 sur la protection de la vie privée puisse s'appliquer également aux citoyens de l'Union européenne, sur une base de réciprocité, pour qu'ils aient accès à leurs données, avec le droit de les rectifier et modifier, ainsi qu'à un mécanisme de recours juridique ou à une autorité indépendante de protection des données;

7. rappelle qu'il considère que de telles garanties en matière de protection des données faciliteraient le partage des données, tout en garantissant la protection de la vie privée, et que de tels transferts devraient en tout état de cause être fondés sur un ou plusieurs accords internationaux similaires, quant à leur structure, à celle de l'accord américano-européen sur la coopération judiciaire en matière pénale et d'extradition, qui fait actuellement l'objet d'un examen au sein du Congrès américain;

8. considère que dans la mesure où de tels accords internationaux concernent des droits fondamentaux des citoyens, tant de l'Union européenne que des États-Unis, le Parlement européen et les parlements nationaux des États membres devraient être pleinement associés aux travaux, tout comme le Congrès américain;

9. souligne qu'en matière de protection des données, les accords devraient tendre à établir un haut niveau de protection contre les risques d'abus et devraient être assortis de principes contraignants au niveau de l'Union européenne en ce qui concerne la protection des données à des fins de sécurité (troisième pilier);

10. souligne qu'il est nécessaire d'adopter une décision-cadre sur la protection des données à caractère personnel dans le troisième pilier; attire l'attention sur le fait que dans la position qu'il a adoptée à l'unanimité le 27 septembre 2006 [2], il a demandé un cadre général et ambitieux qui établirait des règles en matière de protection des données couvrant également les échanges de données à caractère personnel avec des pays tiers;

11. estime qu'il est nécessaire de définir avec les États-Unis un cadre commun et partagé pour préserver, dans le partenariat spécial entre l'Union européenne et les États-Unis, les garanties qui sont nécessaires dans la lutte contre le terrorisme, cadre qui pourrait également régler tous les aspects concernant la libre circulation des personnes entre l'Union européenne et les États-Unis;

12. attend que cette stratégie de partenariat transatlantique fasse l'objet de discussions lors du prochain sommet entre l'Union européenne et les États-Unis qui aura lieu le 30 avril 2007 et fait observer, dans cette perspective, qu'il est nécessaire de renforcer les contacts entre le Parlement et le Congrès américain; demande:

a) que des rapporteurs du Parlement puissent assister à une audition au sein du Congrès américain sur des thèmes d'intérêt mutuel (accord entre l'Union européenne et les États-Unis sur la coopération judiciaire en matière pénale et d'extradition, ATS, SWIFT),

b) que les présidents des commissions compétentes du Congrès américain soient invités en prévision du prochain dialogue transatlantique (Bruxelles-Berlin, mi-avril 2007) et en tout état de cause avant le prochain sommet de printemps entre l'Union européenne et les États-Unis.

En ce qui concerne la négociation de l'accord PNR à long terme

13. souligne qu'en plus des éléments déjà adoptés par le Parlement dans sa position précitée du 27 septembre 2006, un futur accord PNR à long terme devrait se fonder sur les principes suivants:

a) processus décisionnel prenant en compte les faits réels: une évaluation complète doit être réalisée avant la conclusion d'un nouvel accord; la question de l'efficacité de l'accord actuel (et du précédent) devrait être examinée, tout comme celle des coûts et de la compétitivité des compagnies aériennes européennes; l'évaluation doit porter sur la mise en œuvre des engagements et le problème des données PNR dans l'ATS,

b) les transferts de PNR doivent être fondés sur un principe clair de limitation des buts,

c) justification et proportionnalité: il semblerait que pour les objectifs d'application de la loi et de sécurité, les données "Advanced Passenger Information System" (APIS) sont, dans la pratique, plus que suffisantes; ces données sont déjà collectées en Europe conformément au règlement (CEE) no 2299/89 du 24 juillet 1989, instaurant un code de conduite pour l'utilisation de systèmes informatisés de réservation [3], et peuvent donc être échangées avec les États-Unis sur la base d'un régime comparable; les données PNR concernant le comportement semblent être d'usage limité, dans la mesure où elles ne peuvent être identifiées si elles ne sont pas liées à l'APIS; la justification du transfert général des données PNR n'est donc pas satisfaisante,

d) un accord futur doit être fondé sur un constat d'adéquation en ce qui concerne la protection des données à caractère personnel; du côté européen, il est clair que des règles de protection des données à caractère personnel dans le troisième pilier sont nécessaires sans tarder, de même que des normes globales couvrant toutes les catégories de données à caractère personnel,

e) il faut une évaluation régulière de l'adéquation et de l'efficacité du programme en matière de protection des données, évaluation à laquelle seraient associés le Parlement européen et, si possible, le Congrès américain; une évaluation annuelle doit faire partie intégrante de tout accord futur; le rapport d'évaluation doit être rendu public et présenté au Parlement européen,

f) les solutions de rechange, comme les autorisations de voyage électroniques dans un programme de dispense de visa, en lieu et place du transfert des PNR par les compagnies aériennes, doivent également respecter les normes européennes en matière de protection des données,

g) les conditions actuellement prévues dans les engagements américains doivent faire partie intégrante de l'accord et être juridiquement contraignantes; un accord futur doit reposer sur une plus grande légitimité démocratique, avec la pleine participation du Parlement européen et/ou une ratification par les parlements nationaux,

h) en tout état de cause, un accord futur doit être fondé sur le système "PUSH" et le système "PULL" ne devrait plus être acceptable, étant donné que le système PUSH aurait déjà dû être introduit aux termes de l'accord précédent dès qu'il était techniquement applicable,

i) les passagers devraient être informés du transfert des dossiers PNR et avoir accès à leurs données, en ayant la possibilité de les rectifier et de les modifier, et pouvoir former un recours sur la base d'un mécanisme juridique ou devant une autorité indépendante de protection des données,

j) les autorités des États-Unis devraient être obligées, en cas de menace terroriste reconnue, d'informer immédiatement les autorités de l'Union européenne de cette suspicion.

En ce qui concerne l'accès aux données SWIFT

14. réaffirme qu'il est préoccupé par le fait que pendant quatre ans, SWIFT, sur la base d'assignations, a transféré à l'administration américaine un sous-ensemble de données traitées dans son système américain, y compris des données qui ne concernaient pas des citoyens américains et qui n'étaient pas créées sur le territoire américain, par suite de la décision de SWIFT, fondée sur des raisons commerciales et systémiques, de procéder à une duplication systématique des données sur un système miroir installé aux États-Unis, en violation des législations européennes et nationales en matière de protection des données;

15. juge très préoccupant que cette situation, contraire à la Convention européenne de sauvegarde des Droits de l'homme et des libertés fondamentales et à la Charte des droits fondamentaux de l'Union européenne, ainsi qu'aux traités et au droit dérivé (directive sur la protection des données et règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données [4]), n'ait pas été vivement critiquée à un stade antérieur par la BCE et par le groupe des dix banques centrales qui contrôlent les activités de SWIFT et que les banques européennes et leurs clients n'aient été que récemment informés de la situation par des articles parus dans la presse;

16. déplore vivement que plusieurs mois après que ces problèmes ont été révélés, le Conseil n'ait pas encore pris position sur ce sujet qui touche tant de citoyens, de consommateurs et d'entreprises, et que seulement sept des vingt-sept États membres aient répondu au questionnaire envoyé par la Commission européenne pour obtenir des clarifications quant au respect des législations nationales et communautaires en matière de protection des données;

17. rappelle les préoccupations que lui inspire le système actuel de contrôle de SWIFT dont la responsabilité incombe au groupe des dix banques centrales, avec un droit de regard de la BCE, sans toutefois aucune compétence formelle; invite le Conseil et la BCE à étudier en commun comment améliorer ce système en sorte de garantir un fonctionnement correct du processus d'alerte, avec toutes les conséquences voulues quant aux mesures à prendre;

18. fait sien l'avis exprimé par le CEPD sur le rôle de la BCE et invite celle-ci

- à rechercher, en tant qu'organisme de surveillance de SWIFT, des solutions assurant le respect des règles en matière de protection des données et à faire en sorte que les règles de confidentialité n'empêchent pas la communication en temps utile des informations aux autorités compétentes,

- à rechercher, en tant qu'utilisateur du SWIFT Net-FIN, des solutions propres à assurer, dans ses opérations de paiement, le respect de la législation sur la protection des données et à préparer un rapport sur des mesures prises au plus tard en avril 2007,

- à faire en sorte, en tant que décideur politique, en coopération avec les banques centrales et les institutions financières, que les systèmes de paiement européens, y compris le système mis à jour prévu pour les paiements de gros montants "TARGET2", et le système prévu pour les Target Securities, si celui-ci devient réalité, soient entièrement conformes à la législation européenne dans le domaine de la protection des données; invite la BCE à lui communiquer son évaluation de cette conformité;

19. rappelle qu'il estime que dans des conditions clairement définies, les données créées dans le contexte de transactions financières peuvent être utilisées exclusivement à des fins d'enquête judiciaire, en relation avec une présomption de financement du terrorisme, et que l'Union européenne comme les États-Unis ont appliqué la recommandation VII du groupe d'action financière (GAFI) dans leurs législations respectives (règlement (CE) no 1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds [5] et loi américaine sur le secret bancaire);

20. rappelle que depuis le 31 décembre 2006, les institutions financières doivent, conformément à la recommandation VII du GAFI, collecter et conserver certaines données spécifiées concernant les virements de 1000 USD ou plus en Europe (3000 USD aux États-Unis), toutes ces données devant être communiquées aux autorités qui en font la demande ou mises à leur disposition [6];

21. estime que l'Union européenne et les États-Unis sont des alliés essentiels et loyaux dans la lutte contre le terrorisme et que, partant, ce cadre législatif devrait constituer la base de la négociation d'un éventuel accord international, en se fondant sur le postulat que SWIFT, en tant que compagnie belge, est soumise à la législation belge et est, par conséquent, responsable du traitement des données conformément à l'article 4, paragraphe 1, de la directive 95/46/CE; fait observer qu'il en résulterait naturellement que SWIFT devrait mettre un terme à sa pratique actuelle de reproduire toutes les données concernant des citoyens et entreprises de l'Union européenne sur son site miroir américain ou installer l'autre site de sa base de données en un lieu qui n'est pas sous la souveraineté américaine; demande instamment de prévoir dans cet accord international les garanties nécessaires contre toute utilisation abusive des données à des fins économiques et commerciales;

22. attire l'attention sur le fait que SWIFT fournit des services en-dehors de l'Europe et des États-Unis, et considère, partant, que toute mesure adoptée devrait prendre en compte l'aspect mondial des services de SWIFT;

23. invite la Commission, qui est compétente pour la législation relative à la protection des données comme aux systèmes de paiement, à analyser les possibilités d'espionnage économique et commercial que permet la conception actuelle du système de paiement au sens le plus large, y compris en particulier les fournisseurs de messagerie, et à faire rapport sur les moyens de résoudre ce problème;

24. fait observer que les services financiers peuvent être exemptés des dispositions de l'accord sur la sphère de sécurité, comme le constate le groupe de travail "article 29" dans son avis 10/2006; est préoccupé par le fait que des entreprises et secteurs européens exerçant des activités aux États-Unis qui ne sont pas couverts par l'accord sur la sphère de sécurité peuvent actuellement être contraints de communiquer des données à caractère personnel aux autorités américaines, ce qui est notamment le cas des filiales américaines de banques, compagnies d'assurance, institutions de sécurité sociale et fournisseurs de services de télécommunications européens; invite la Commission européenne à étudier d'urgence cette question;

*

* *

25. charge son Président de transmettre la présente résolution au Conseil, à la Commission, aux gouvernements et aux parlements des États membres, ainsi qu'au Congrès américain.

[1] Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281 du 23.11.1995, p. 31).

[2] Textes adoptés de cette date, P6_TA(2006)0370.

[3] JO L 220 du 29.7.1989, p. 1.

[4] JO L 8 du 12.1.2001, p. 1.

[5] JO L 345 du 8.12.2006, p. 1.

[6] (Cf. le rapport publié le 17 janvier 2006 par la "Financial Crime Enforcement Network" sur la communication de données concernant les virements électroniques transfrontaliers: http://www.fincen.gov/news_release_cross_border. html).

--------------------------------------------------