L’élaboration de nouvelles normes et pratiques recommandées (SARP) pour les PNR repose sur la résolution 2396 (2017) du Conseil de sécurité des Nations unies, adoptée le 21 décembre 2017. Cette résolution impose aux États membres des Nations unies de «renforce[r] leur capacité de collecter, de traiter et d’analyser, dans le cadre des normes et pratiques recommandées de l’OACI, les données des dossiers passagers (PNR) et de veiller à ce que ces données soient communiquées à toutes les autorités nationales compétentes et utilisées par celles-ci, dans le plein respect des droits de l’homme et des libertés fondamentales [...]». Elle exhorte également l’OACI «à travailler avec ses États membres en vue d’établir une norme pour la collecte, l’utilisation, le traitement et la protection des données PNR».

L’OACI est une institution spécialisée des Nations unies. Les objectifs de l’organisation sont d’élaborer les principes et les techniques de la navigation aérienne internationale et de promouvoir la planification et le développement du transport aérien international.

Les données PNR sont des données à caractère personnel des passagers collectées par les compagnies aériennes à des fins commerciales, contrairement à d’autres données relatives aux voyages collectées par elles au nom des autorités, telles que les informations préalables sur les passagers (données API). Partout dans le monde, les services répressifs utilisent de plus en plus les données PNR qui leur sont transférées par les compagnies aériennes pour lutter contre le terrorisme et d’autres formes graves de criminalité.

Le 23 juin 2020, lors de la dixième réunion de sa 220e session, le Conseil de l’OACI a adopté l’amendement nº 28 de l’annexe 9 de la convention de Chicago. Comme indiqué ci-dessus, l’annexe 9 établit des normes internationales en matière de facilitation et son chapitre 9, section D, porte spécifiquement sur les PNR.

Le 17 juillet 2020, l’OACI a informé ses États membres de l’adoption de l’amendement nº 28 par une autre lettre adressée à ces États (réf. EC 6/3-20/71). L’amendement devait prendre effet le 30 octobre 2020, à moins qu’entre-temps la majorité des États n’ait fait connaître sa désapprobation, conformément à l’article 90 de la convention de Chicago. L’amendement sera applicable à partir du 28 février 2021. Les États membres de l’OACI peuvent toutefois notifier, au plus tard le 30 janvier 2020, toute différence entre leurs réglementations ou pratiques nationales et celles inscrites dans les normes établies par l’amendement nº 28 s’ils estiment que leurs réglementations ou pratiques nationales se différencient de l’une ou l’autre de ces normes. Cette notification doit être effectuée conformément à l’article 38 de la convention de Chicago et au mécanisme applicable pour la communication des différences.

2.4.Aspects relatifs aux PNR dans l’amendement nº 28 de l’annexe 9

S’il prend effet, l’amendement nº 28 remplacera les normes 9.22-9.22.1 et la pratique recommandée 9.23 par de nouvelles SARP 9.23-9.38. Ces SARP sont beaucoup plus détaillées que le cadre existant, englobant notamment des aspects liés à la limitation des finalités, à la surveillance, aux droits des personnes concernées, à la méthode de transmission, à la conservation des données, au traitement des données sensibles et aux relations entre les États contractants à la convention de Chicago en ce qui concerne les transferts de données PNR. Certaines des orientations non contraignantes fournies dans le document 9944 de l’OACI établissant des lignes directrices sur les données des dossiers passagers (PNR) ont été adaptées aux nouvelles normes.

La norme 9.23 impose aux États contractants de mettre en place une capacité de collecter, d’utiliser, de traiter et de protéger les données des dossiers passagers (PNR) et de transposer les règles de mise en œuvre pratique de cette capacité dans un cadre juridique et administratif interne approprié conformément aux SARP. Le caractère obligatoire de la mise en place d’une capacité de traitement des PNR est conforme à la résolution 2396 (2017) du Conseil de sécurité des Nations unies.

La norme 9.24 impose aux États contractants, dans le plein respect des droits de l’homme et des libertés fondamentales, d’identifier clairement les données PNR qu’ils utiliseront dans le cadre de leurs opérations et d’établir les fins auxquelles les données PNR pourront être utilisées par les autorités. Ces fins ne devraient pas être plus étendues que le nécessiteront les buts visés, en particulier les objectifs de sécurité aux frontières visant à lutter contre le terrorisme et les formes graves de criminalité. En outre, la divulgation de données PNR au sein de l’État destinataire ou dans d’autres États contractants devrait être limitée aux autorités compétentes exerçant des fonctions pertinentes liées aux fins pour lesquelles les données PNR sont traitées. Ces autorités devraient également veiller à ce que soient accordées des protections comparables à celles qui sont offertes par l’autorité qui divulgue les données.

La norme 9.25 établit des exigences concernant la sécurité des données et les droits des personnes physiques à l’égard du traitement de leurs données PNR, y compris en ce qui concerne la non-discrimination, la fourniture d’informations, les voies de recours administratif et judiciaire, l’accès aux données et la possibilité de demander des corrections, des suppressions ou des annotations. La pratique recommandée 26 encourage les États à informer les personnes du traitement de leurs données PNR ainsi que de leurs droits et des recours qui leur sont ouverts.

La norme 9.27 impose aux États contractants de baser le traitement automatique des données PNR sur des critères objectifs, précis et fiables qui indiquent effectivement l’existence d’un risque, sans entraîner de discrimination illicite, et de s’abstenir de prendre des décisions qui auront des effets préjudiciables importants pour les intérêts juridiques des personnes sur la seule base du traitement automatique des données PNR.

En vertu de la norme 9.28, les États sont tenus de désigner une ou plusieurs autorités nationales compétentes ayant le pouvoir de superviser indépendamment la protection des données PNR et de déterminer si ses données sont collectées, utilisées, traitées et protégées dans le plein respect des droits de l’homme et des libertés fondamentales.

La norme 9.29 fait défense aux États d’exiger des compagnies aériennes qu’elles collectent des données PNR dont elles n’ont pas besoin dans le cadre de leurs procédures opérationnelles normales ou qu’elles filtrent les données avant leur transmission. Elle interdit également le traitement de données sensibles, c’est-à-dire de données PNR qui révèleront l’origine raciale ou ethnique d’une personne, ses opinions politiques, ses croyances religieuses ou philosophiques, son affiliation syndicale ou de données sur sa santé, sa vie sexuelle ou son orientation sexuelle sauf dans des circonstances exceptionnelles et immédiates pour protéger les intérêts vitaux du sujet des données ou d’une autre personne physique. Dans les cas où de tels renseignements sont transférés, les États sont tenus de supprimer ces données dès que possible.

La norme 9.30 fixe des obligations relatives à la conservation des données ainsi qu’à la dépersonnalisation et à la repersonnalisation des données PNR, en exigeant des États qu’ils ne conservent les données que pendant une période déterminée, définie dans leur cadre juridique et administratif, à savoir la période nécessaire et proportionnée aux fins pour lesquelles les données PNR seront utilisées, et qu’ils masquent les données après un délai déterminé. Après le masquage, la repersonnalisation ne devrait être possible que lorsque les données seront utilisées relativement à une affaire, une menace ou un risque pour les fins pour lesquelles les données PNR peuvent être traitées. La pratique recommandée 9.32 suggère une durée de conservation maximale de cinq ans et la pratique recommandée 9.33 propose que les données PNR soient dépersonnalisées dans un délai de six mois et au plus tard deux ans à compter de leur transfert par les compagnies aériennes.

La norme 9.33 établit que les données PNR devraient, en règle générale, être transmises au moyen de la méthode «push» portant le moins atteinte à la vie privée. Elle vise également à réduire au minimum les contraintes pesant sur les transporteurs aériens en limitant la possibilité pour les États d’imposer des amendes en cas d’erreurs de transmission dans certaines circonstances et en exigeant qu’ils limitent le nombre de fois où les mêmes données sont transmises par «push».

La norme 9.34, point a), impose aux États contractants de ne pas entraver ou empêcher le transfert de données PNR vers un autre État contractant qui respecte les nouvelles normes. Parallèlement, la norme 9.34, point b), prévoit que les États contractants de l’OACI conservent la possibilité d’introduire ou de maintenir des niveaux de protection plus élevés des données PNR, selon leur cadre juridique national, et de négocier des arrangements supplémentaires avec d’autres États, en particulier pour se conformer à leurs exigences juridiques internes, ou établir des dispositions plus détaillées relatives au traitement et au transfert des données PNR, à condition que ces mesures n’entrent pas par ailleurs en conflit avec les normes.

En vertu de la norme 9.35, les États contractants peuvent être appelés à démontrer, à tout État qui en fait la demande, qu’ils se conforment aux nouvelles normes. Lorsque les États contractants déterminent qu’ils doivent empêcher le transfert de données PNR ou infliger une amende à un transporteur aérien, la norme 9.36 leur impose d’agir avec transparence et avec l’intention de résoudre la situation.

La pratique recommandée 9.37 encourage les États à informer les autres États qui assurent des services aériens avec eux de tout changement important apporté à leur programme PNR, y compris en ce qui concerne le respect des SARP. La pratique recommandée 9.38 suggère que les États ne pénalisent pas les transporteurs aériens pendant qu’ils essaient de résoudre les différends relatifs au transfert de données PNR.

2.5.Cadre juridique applicable

Le traitement des données PNR constitue un instrument essentiel de la réponse commune de l’UE au terrorisme et aux formes graves de criminalité et une composante majeure de l’union de la sécurité. L’identification et le traçage des schémas de déplacement suspects par le traitement des données PNR afin de recueillir des éléments de preuve et, au besoin, de trouver les complices de criminels et de démanteler les réseaux criminels s’avèrent essentiels pour prévenir et détecter les infractions terroristes et les formes graves de criminalité, ainsi que pour mener les enquêtes et les poursuites en la matière. Dans le même temps, le traitement des données PNR constitue une ingérence dans les droits au respect de la vie privée et à la protection des données à caractère personnel consacrés aux articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (la «charte»). Conformément à l’article 52, paragraphe 1, de la charte, ce traitement doit donc être prévu par la loi, respecter le contenu essentiel des droits concernés et, dans le respect du principe de proportionnalité, ne peut être autorisé que s’il est nécessaire et répond effectivement à un objectif d’intérêt général de l’Union ou au besoin de protection des droits et libertés d’autrui. L’un de ces objectifs d’intérêt général est la protection des citoyens contre les menaces graves pour la sécurité.

Le 27 avril 2016, le Parlement européen et le Conseil ont adopté la directive (UE) 2016/681 relative à l’utilisation des données PNR pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière. Cette directive permet aux autorités nationales d’exiger des transporteurs aériens qu’ils transfèrent des données PNR, tout en prévoyant des garanties pour les droits des personnes au respect de la vie privée et à la protection des données. Le délai imparti aux États membres pour transposer l’acte législatif en droit national était fixé au 25 mai 2018. L’examen des deux premières années d’application de la directive, effectué en 2020, a montré que le traitement des données PNR avait produit des résultats tangibles dans la lutte contre le terrorisme et les formes graves de criminalité.

En avril 2016 également, le Parlement européen et le Conseil ont adopté de nouvelles règles de l’UE en matière de protection des données: le règlement (UE) 2016/679 (règlement général sur la protection des données ou RGPD) et la directive (UE) 2016/680 (sur la protection des données dans le domaine répressif). Le RGPD établit, entre autres, des règles relatives aux transferts internationaux de données à caractère personnel qui sont applicables à la transmission de données PNR par les transporteurs aériens. La directive (UE) 2016/680 régit le traitement des données à caractère personnel par les services répressifs et complète le régime prévu par la directive (UE) 2016/681 sur des aspects tels que les droits des personnes concernées et les transferts de données au cas par cas aux services répressifs des pays tiers.

Il existe actuellement deux accords internationaux entre l’UE et des pays tiers (à savoir l’Australie et les États-Unis) sur le traitement et le transfert des données PNR. Le 26 juillet 2017, la Cour de justice de l’Union européenne a rendu un avis (ci-après l’«avis 1/15») portant sur l’accord envisagé entre l’UE et le Canada sur le transfert et le traitement de données PNR, signé le 25 juin 2014. La Cour a estimé que l’accord ne pouvait pas être conclu sous sa forme prévue parce que certaines de ses dispositions étaient incompatibles avec les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel protégés par la charte. En particulier, la Cour a interprété les dispositions concernées de la charte comme exigeant des garanties particulières en ce qui concerne la surveillance par une autorité indépendante, le traitement des données sensibles, le traitement automatisé des données PNR et la non-discrimination, les finalités pour lesquelles les données PNR peuvent être traitées, ainsi que la conservation, l’utilisation, la divulgation et le transfert ultérieur des données PNR. À la suite de l’adoption de directives de négociation par le Conseil en décembre 2017, la Commission a entamé de nouvelles négociations sur les PNR avec le Canada en juin 2018.