CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. GIOVANNI PITRUZZELLA

présentées le 27 janvier 2022 ( 1 )

Affaire C‑817/19

Ligue des droits humains

contre

Conseil des ministres

[demande de décision préjudicielle formée par la Cour constitutionnelle (Belgique)]

« Renvoi préjudiciel – Protection des données à caractère personnel – Traitement des données des dossiers passagers (PNR) – Règlement (UE) 2016/679 – Champ d’application – Directive (UE) 2016/681 – Validité – Charte des droits fondamentaux de l’Union européenne – Articles 7, 8 et article 52, paragraphe 1 »

Table des matières

I. Introduction II. Le cadre juridique A. Le droit de l’Union 1. La Charte 2. Le RGPD 3. La directive PNR 4. Autres actes pertinents de droit de l’Union B. Le droit belge C. Le litige au principal, les questions préjudicielles et la procédure devant la Cour III. Analyse A. Sur la première question préjudicielle B. Sur les deuxième, troisième, quatrième, sixième et huitième questions préjudicielles 1. Sur les droits fondamentaux énoncés aux articles 7 et 8 de la Charte 2. Sur l’ingérence dans les droits fondamentaux énoncés aux articles 7 et 8 de la Charte 3. Sur la justification de l’ingérence résultant de la directive PNR a) Sur le respect de l’exigence selon laquelle toute limitation à l’exercice d’un droit fondamental prévu par la Charte doit être prévue par la loi b) Sur le respect du contenu essentiel des droits énoncés aux articles 7 et 8 de la Charte c) Sur le respect de l’exigence selon laquelle l’ingérence doit répondre à un objectif d’intérêt général d) Sur le respect du principe de proportionnalité 1) Sur l’aptitude des traitements des données PNR visés par la directive PNR au regard de l’objectif poursuivi 2) Sur le caractère strictement nécessaire de l’ingérence i) Sur la délimitation des finalités du traitement des données PNR ii) Sur les catégories de données PNR visées par la directive PNR (deuxième et troisième questions préjudicielles) – Sur le caractère suffisamment clair et précis des points 12 et 18 de l’annexe I (troisième question préjudicielle) – Sur l’étendue des données énumérées à l’annexe I (deuxième question préjudicielle) – Sur les données sensibles iii) Sur la notion de « passager » (quatrième question préjudicielle) iv) Sur le caractère suffisamment clair précis et limité au strict nécessaire de l’évaluation préalable des passagers (sixième question préjudicielle) – Sur la confrontation avec des bases des données au sens de l’article 6, paragraphe 3, sous a), de la directive PNR – Sur le traitement des données PNR à l’égard de critères préétablis – Sur les garanties entourant le traitement automatisé des données PNR – Conclusion sur la sixième question préjudicielle v) Sur la conservation des données PNR (huitième question préjudicielle) 4. Conclusions sur les deuxième, troisième, quatrième, sixième et huitième questions préjudicielles C. Sur la cinquième question préjudicielle D. Sur la septième question préjudicielle E. Sur la neuvième question préjudicielle F. Sur la dixième question préjudicielle IV. Conclusion

I. Introduction

1. Par la présente demande de décision préjudicielle, la Cour constitutionnelle (Belgique) pose à la Cour une série de dix questions préjudicielles portant sur l’interprétation du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après le (« RGPD ») ( 2 ), ainsi que sur la validité et sur l’interprétation de la directive (UE) 2016/681 du Parlement européen et du Conseil du 27 avril 2016 relative à l’utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière (ci-après la « directive PNR ») ( 3 ) et de la directive 2004/82/CE du Conseil du 29 avril 2004 concernant l’obligation pour les transporteurs de communiquer les données relatives aux passagers (ci-après la « directive API ») ( 4 ). Ces questions ont été soulevées dans le cadre d’un recours introduit par l’association sans but lucratif Ligue des droits humains (LDH), visant à l’annulation totale ou partielle de la loi du 25 décembre 2016 relative au traitement des données des passagers (ci-après la « loi PNR ») ( 5 ), transposant en droit belge la directive PNR ainsi que la directive API.

2. Les questions que la Cour devra trancher dans la présente affaire s’inscrivent dans le cadre de l’un des principaux dilemmes du constitutionnalisme libéral démocratique contemporain : comment convient-il de définir l’équilibre entre l’individu et la collectivité à l’ère des données, lorsque les technologies numériques ont permis la collecte, la conservation, le traitement et l’analyse d’énormes masses de données à caractère personnel à des fins prédictives ? Les algorithmes, l’analyse des big data et l’intelligence artificielle utilisés par les autorités publiques peuvent servir à promouvoir et à protéger les intérêts fondamentaux de la société, avec une efficacité autrefois inimaginable : de la protection de la santé publique à la durabilité environnementale, de la lutte contre le terrorisme à la prévention de la criminalité, en particulier la criminalité grave. Dans le même temps, la collecte indifférenciée de données à caractère personnel et l’utilisation des technologies numériques par les pouvoirs publics peuvent donner naissance à un panoptique numérique, c’est-à-dire à un pouvoir public qui voit tout sans être vu. Un pouvoir omniscient qui peut contrôler et prévoir les comportements de tout un chacun et prendre les mesures qui s’imposent, jusqu’au résultat paradoxal, imaginé par Steven Spielberg dans le film Minority Report, d’ôter la liberté de manière préventive à l’auteur d’un délit qui n’a pas encore été réalisé. Comme on le sait, dans certains pays, la société prime sur l’individu et l’utilisation des données personnelles permet légitimement de réaliser une surveillance de masse efficace visant à protéger des intérêts publics considérés comme fondamentaux. À l’inverse, le constitutionnalisme européen – national et supranational – avec la place centrale accordée à l’individu et à ses libertés, met une barrière importante à l’avènement d’une société de la surveillance de masse, surtout après la reconnaissance des droits fondamentaux à la protection de la vie privée et à la protection des données à caractère personnel. Dans quelle mesure, cependant, cette barrière peut-elle être érigée sans porter gravement atteinte à certains intérêts fondamentaux de la société – tels que ceux précédemment cités à titre d’exemple – qui peuvent pourtant avoir des liens constitutionnels ? Nous sommes au cœur de la question de la relation entre individu et collectivité dans la société numérique. Une question qui nécessite, d’une part, la recherche et la mise en œuvre d’équilibres délicats entre les intérêts de la collectivité et les droits des individus, en partant de l’importance absolue que ces derniers ont dans le patrimoine constitutionnel européen, et d’autre part, la mise en place de garanties contre les abus. Ici aussi, nous sommes dans le cadre de la version contemporaine d’un thème classique du constitutionnalisme, car, comme l’affirmait de manière lapidaire Le Fédéraliste, les hommes ne sont pas des anges et c’est pourquoi des mécanismes juridiques sont nécessaires pour limiter et contrôler la puissance publique.

3. Telles sont les questions d’ordre général qui s’inscrivent dans le contexte des présentes conclusions, qui ne pourront que se limiter à interpréter le droit de l’Union, à la lumière de la jurisprudence antérieure de la Cour, en employant des techniques bien établies, parmi lesquelles figure celle de l’interprétation conforme. Une technique à laquelle on aura recours souvent, lorsque cela apparaît juridiquement possible, dans les présentes conclusions, dans le but de trouver l’équilibre nécessaire, du point de vue constitutionnel, entre les finalités publiques qui sous-tendent le système de transfert, de collecte et de traitement des données des dossiers passagers (ci-après les « données PNR »), et les droits consacrés aux articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »).

II. Le cadre juridique

A. Le droit de l’Union

1. La Charte

4. Aux termes de l’article 7 de la Charte, « [t]oute personne a droit au respect de sa vie privée et familiale, de son domicile et de ses communications ».

5. Aux termes de l’article 8 de la Charte : « 1. Toute personne a droit à la protection des données à caractère personnel la concernant. 2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification. 3. Le respect de ces règles est soumis au contrôle d’une autorité indépendante. »

6. Conformément à l’article 52, paragraphe 1, de la Charte « [t]oute limitation de l’exercice des droits et libertés reconnus par la présente Charte doit être prévue par la loi et respecter le contenu essentiel desdits droits et libertés. Dans le respect du principe de proportionnalité, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et libertés d’autrui ».

2. Le RGPD

7. L’article 2, paragraphe 2, sous d), du RGPD exclut du champ d’application de ce règlement le traitement de données à caractère personnel effectué « par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces ».

8. Aux termes de l’article 23, paragraphe 1, sous d), du RGPD : « Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir : [...] d) la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. »

3. La directive PNR

9. Je ne donnerai ci-après qu’un bref aperçu du fonctionnement du système instauré par la directive PNR. Plus de détails sur le contenu des dispositions de la directive PNR pertinente aux fins de la réponse à donner aux questions préjudicielles seront fournis au cours de l’analyse juridique.

10. Conformément à son article 1er, la directive PNR, adoptée sur la base de l’article 82, paragraphe 1, sous d), TFUE et de l’article 87, paragraphe 2, sous a), TFUE, organise, à l’échelle de l’Union européenne, un système de transfert, par les transporteurs aériens, des données PNR de vols extra-UE ( 6 ), ainsi que de collecte, de traitement et de conservations de ces données par les autorités compétentes des États membres à des fins de lutte contre le terrorisme et la criminalité grave.

11. Aux termes de l’article 3, point 5), de cette directive, le « dossier passager » ou « PNR » est un « un dossier relatif aux conditions de voyage de chaque passager, qui contient les informations nécessaires pour permettre le traitement et le contrôle des réservations par les transporteurs aériens concernés qui assurent les réservations, pour chaque voyage réservé par une personne ou en son nom, que ce dossier figure dans des systèmes de réservation, des systèmes de contrôle des départs (utilisés pour contrôler les passagers lors de l’embarquement) ou des systèmes équivalents offrant les mêmes fonctionnalités ».

12. L’annexe I de la directive PNR (ci-après l’« annexe I »), énumère les données des dossiers passagers telles qu’elles sont recueillies par les transporteurs aériens, qui font l’objet de transfert au sens et selon les modalités prévues à l’article 8 de cette directive.

13. L’annexe II de la directive PNR (ci-après l’« annexe II ») contient la liste des infractions qui constituent des « formes graves de criminalité » au sens de l’article 3, point 9, de cette directive.

14. L’article 2 de la directive PNR prévoit la possibilité, pour les États membres, de décider d’appliquer cette directive également aux « vols intra-UE » ( 7 ) ou à certains d’entre eux, jugés « nécessaires » afin de poursuivre les objectifs de ladite directive.

15. Aux termes de l’article 4, paragraphe 1, de la directive PNR, « [c]haque État membre met en place ou désigne une autorité compétente en matière de prévention et de détection des infractions terroristes et des formes graves de criminalité, ainsi que d’enquêtes et de poursuites en la matière, ou crée ou désigne une antenne d’une telle autorité, en tant que son [unité d’informations passagers] UIP ». Conformément au paragraphe 2, sous a), de cet article 4, l’UIP est notamment chargée de la collecte des données PNR auprès des transporteurs aériens, de la conservation et du traitement de ces données, ainsi que du transfert de ces données ou du résultat de leur traitement aux autorités compétentes visées à l’article 7 de la directive PNR. Aux termes du paragraphe 2, de cet article 7, ces autorités sont « des autorités compétentes en matière de prévention ou de détection des infractions terroristes ou des formes graves de criminalité, ainsi que d’enquêtes ou de poursuites en la matière » ( 8 ).

16. Aux termes de l’article 6, paragraphe 1, seconde phrase, de la directive PNR, « lorsque les données PNR transférées par les transporteurs aériens comportent des données autres que celles énumérées à l’annexe I, l’UIP efface ces données immédiatement et de façon définitive dès leur réception ». Le paragraphe 2 de cet article est rédigé comme suit : « 2. L’UIP ne traite les données PNR qu’aux fins suivantes : a) réaliser une évaluation des passagers avant leur arrivée prévue dans l’État membre ou leur départ prévu de celui-ci, afin d’identifier les personnes pour lesquelles est requis un examen plus approfondi par les autorités compétentes visées à l’article 7 et, le cas échéant, par Europol conformément à l’article 10, compte tenu du fait que ces personnes peuvent être impliquées dans une infraction terroriste ou une forme grave de criminalité ; b) répondre, au cas par cas, aux demandes dûment motivées fondées sur des motifs suffisants des autorités compétentes, visant à ce que des données PNR leur soient communiquées et à ce que celles-ci fassent l’objet d’un traitement dans des cas spécifiques, aux fins de la prévention et de la détection d’infractions terroristes ou de formes graves de criminalité, ainsi qu’aux fins d’enquêtes et de poursuites en la matière, et visant à communiquer aux autorités compétentes ou, le cas échéant, à Europol le résultat de ce traitement ; et c) analyser les données PNR aux fins de mettre à jour ou de définir de nouveaux critères à utiliser pour les évaluations réalisées au titre du paragraphe 3, point b), en vue d’identifier toute personne pouvant être impliquée dans une infraction terroriste ou une forme grave de criminalité. »

17. L’article 12 de la directive PNR contient les dispositions relatives à la conservation des données PNR.

18. L’article 5 de la directive PNR prévoit que chaque UIP nomme un délégué à la protection des données chargé de contrôler le traitement des données PNR et de mettre en œuvre les garanties pertinentes. En outre, chaque État membre est tenu, conformément à l’article 15 de cette directive, de charger l’autorité nationale de contrôle visée à l’article 25 de la décision-cadre 2008/977/JAI ( 9 ), remplacée par la directive (UE) 2016/680, du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après la « directive police ») ( 10 ), de surveiller l’application, sur son territoire, des dispositions adoptées en vertu de ladite directive. Cette autorité, qui exerce ses tâches en ayant en vue la protection des droits fondamentaux en matière de traitement des données à caractère personnel ( 11 ), est notamment chargée, d’une part, de traiter les réclamations introduites par toute personne concernée, d’enquêter sur l’affaire et d’informer la personne concernée de l’état d’avancement du dossier et de l’issue de la réclamation dans un délai raisonnable, et, d’autre part, de vérifier la licéité du traitement des données, d’effectuer des enquêtes, des inspections et des audits conformément au droit national, de sa propre initiative ou en se fondant sur une réclamation ( 12 ).

4. Autres actes pertinents de droit de l’Union

19. Le cadre juridique de la présente affaire est complété par la directive API et la directive police. Pour des raisons de lisibilité des présentes conclusions, le contenu des dispositions pertinentes de ces actes sera exposé dans la mesure où cela s’avère nécessaire pour le traitement des questions qui les concernent ou, plus généralement, pour les besoins de l’analyse juridique.

B. Le droit belge

20. Conformément à l’article 22 de la Constitution belge, « [c]hacun a droit au respect de sa vie privée et familiale, sauf dans les cas et conditions fixés par la loi ».

21. Aux termes de son article 2, la loi PNR transpose la directive API et la directive PNR, ainsi que, partiellement, la directive 2010/65/UE ( 13 ).

22. Conformément à son article 3, § 1, la loi PNR « détermine les obligations des transporteurs et des opérateurs de voyage relatives à la transmission des données des passagers à destination du, en provenance du et transitant par le territoire national ». Aux termes de l’article 4, points 1 et 2, de cette loi, l’on entend par « transporteur »« toute personne physique ou morale qui assure, à titre professionnel, le transport de personnes par voie aérienne, maritime, ferroviaire ou terrestre » et par « opérateur de voyage »« tout organisateur ou intermédiaire de voyage, au sens de la loi du 16 février 1994 régissant le contrat d’organisation de voyages et le contrat d’intermédiaire de voyages ».

23. L’article 8 de la loi PNR dispose : « § ler. Les données des passagers sont traitées aux fins : 1° de la recherche et la poursuite, en ce compris l’exécution des peines ou des mesures limitatives de liberté, relatives aux infractions visées à l’article 90 ter, § 2, [...] 7°, [...] 8°, [...] 11°, [...] 14°, [...] 17°, 18°, 19° et § 3, du Code d’instruction criminelle ; 2° de la recherche et la poursuite, en ce compris l’exécution des peines ou des mesures limitatives de liberté, relatives aux infractions visées aux articles 196, en ce qui concerne les infractions de faux en écritures authentiques et publiques, 198, 199, 199 bis, 207, 213, 375 et 505 du Code pénal ; 3° de la prévention des troubles graves à la sécurité publique dans le cadre de la radicalisation violente par le suivi des phénomènes et groupements conformément à l’article 44/5, § 1er, 2° et 3° et § 2, de la loi du 5 août 1992 sur la fonction de police ; 4° du suivi des activités visées aux articles 7, 1° et 3°/1, et 11, § 1er, 1° à 3° et 5°, de la loi du 30 novembre 1998 organique des services de renseignement et de sécurité ( 14 ) ; 5° de la recherche et la poursuite des infractions visées à l’article 220, § 2, de la loi générale sur les douanes et accises du 18 juillet 1977 et l’article 45, alinéa 3, de la loi du 22 décembre 2009 relative au régime général d’accise [...] § 2. Sous les conditions prévues au chapitre 11, les données des passagers sont également traitées en vue de l’amélioration des contrôles de personnes aux frontières extérieures et en vue de lutter contre l’immigration illégale. »

24. L’article 9 de la loi PNR contient la liste des données qui font l’objet de transfert. Ces données correspondent à celles énumérées à l’annexe I.

25. Conformément à l’article 18 de la loi PNR, « les données des passagers sont conservées dans la banque de données des passagers pour une durée maximale de cinq ans à compter de leur enregistrement. À l’issue de ce délai, elles sont détruites ».

26. L’article 19 de cette loi prévoit que, « [à] l’expiration d’une période de six mois, à compter de l’enregistrement des données des passagers dans la banque de données des passagers, toutes les données des passagers sont dépersonnalisées, par masquage des éléments d’information ».

27. L’article 24 de la loi PNR prévoit : « § 1er. Les données des passagers sont traitées en vue de la réalisation d’une évaluation préalable des passagers avant leur arrivée, leur départ ou leur transit prévu sur le territoire national afin de déterminer quelles personnes doivent être soumises à un examen plus approfondi. § 2. Dans le cadre des finalités visées à l’article 8, § 1er, 1°, 4° et 5°, ou relatives aux menaces mentionnées aux articles 8, 1°, a), b), c), d), f), g) et 11, § 2, de la loi du 30 novembre 1998 organique des services de renseignement et de sécurité, l’évaluation préalable des passagers repose sur une correspondance positive, résultant d’une corrélation des données des passagers avec : 1° les banques de données gérées par les services compétents ou qui leur sont directement disponibles ou accessibles dans le cadre de leurs missions ou avec des listes de personnes élaborées par les services compétents dans le cadre de leurs missions. 2° les critères d’évaluation préétablis par l’UIP, visés à l’article 25. § 3. Dans le cadre des finalités visées à l’article 8, § 1er, 3°, l’évaluation préalable des passagers repose sur une correspondance positive, résultant d’une corrélation des données des passagers avec les banques de données visées au § 2, 1°. [...] »

28. L’article 25 de la loi PNR reprend le contenu de l’article 6, paragraphe 4, de la directive PNR.

29. Le chapitre 11 de la loi PNR contient les dispositions régissant le traitement des données des passagers en vue de l’amélioration du contrôle aux frontières et de la lutte contre l’immigration illégale. Ces dispositions constituent la transposition en droit belge de la directive API.

30. L’article 44 de la loi PNR prévoit que l’UIP désigne un délégué à la protection des données au sein du service public fédéral intérieur. La surveillance sur l’application des dispositions de la loi PNR est exercée par la Commission de la protection de la vie privée.

31. L’article 51 de la loi PNR modifie la loi du 30 novembre 1998 organique des services de renseignement et de sécurité, en insérant un article 16/3 rédigé comme suit : « § 1er. Les services de renseignement et de sécurité peuvent, dans l’intérêt de l’exercice de leurs missions, décider de façon dûment motivée d’accéder aux données des passagers visés à l’article 7 de la loi [PNR]. § 2. La décision visée au § 1er est prise par le dirigeant du service et communiquée par écrit à l’Unité d’information des passagers visée au chapitre 7 de la loi précitée. La décision est notifiée au Comité permanent R avec la motivation de celle-ci. Le Comité permanent R interdit aux services de renseignement et de sécurité d’exploiter les données recueillies dans les conditions qui ne respectent pas les conditions légales. La décision peut porter sur un ensemble de données relatives à une enquête de renseignement spécifique. Dans ce cas, la liste des consultations des données des passagers est communiquée une fois par mois au Comité permanent R. »

C. Le litige au principal, les questions préjudicielles et la procédure devant la Cour

32. Par une requête adressée à la Cour constitutionnelle le 24 juillet 2017, la LDH a introduit un recours visant l’annulation totale ou partielle de la loi PNR. À l’appui de son recours, elle a invoqué deux moyens.

33. Par son premier moyen, avancé à titre principal et tiré de la violation de l’article 22 de la Constitution belge, lu en combinaison avec l’article 23 du RGPD, les articles 7, 8, et l’article 52, paragraphe 1, de la Charte ainsi que l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci-après la « CEDH »), la LDH estime que la loi attaquée ne respecte pas le principe de proportionnalité quant à son champ d’application et aux catégories de données visées, aux traitements de données qu’elle instaure, à ses finalités et à la durée de conservation des données. En particulier, elle soutient que la définition des données PNR est trop large et susceptible d’aboutir à la révélation de données sensibles, et que la définition de la notion de « passager » contenue dans cette loi permet un traitement systématique non ciblé des données de tous les passagers concernés. En outre, la LDH considère que la loi PNR ne définit pas de manière suffisamment claire la nature et les modalités de la méthode de pre-screening des banques de données des passagers ainsi que les critères servant d’« indicateurs de menace ». Enfin, elle est d’avis que la loi PNR excède les limites du strict nécessaire, en ce sens qu’elle poursuit des finalités de traitement des données PNR plus larges que celles admises par la directive PNR et que le délai de cinq ans pour la conservation des données PNR est disproportionné. Par son second moyen, avancé à titre subsidiaire et tiré de la violation de l’article 22 de la Constitution belge, lu en combinaison avec l’article 3, paragraphe 2, TUE et avec l’article 45 de la Charte, la LDH s’attaque aux dispositions du chapitre 11 de la loi PNR qui transposent la directive API.

34. Le Conseil des ministres du Royaume de Belgique, en tant que partie intervenante devant la Cour constitutionnelle, s’oppose au recours de la LDH, en contestant tant la recevabilité que le bien-fondé des deux moyens soulevées à son appui.

35. La Cour constitutionnelle avance, pour sa part, les considérations suivantes.

36. S’agissant du premier moyen, elle s’interroge, tout d’abord, sur le point de savoir si la définition des données PNR, figurant à l’annexe I, est suffisamment claire et précise. La description de certaines de ces données revêtirait un caractère exemplatif et non exhaustif. Ensuite, ladite juridiction relève que la définition de la notion de « passager » figurant à l’article 3, point 4, de la directive PNR entraîne la collecte, le transfert, le traitement et la conservation des données PNR de toute personne transportée ou devant être transportée et inscrite sur la liste des passagers, indépendamment de l’existence de motifs sérieux de croire que la personne concernée ait commis une infraction ou est sur le point de commettre une infraction, ou ait été reconnue coupable d’une infraction. S’agissant des traitements des données PNR, elle observe que ces dernières font systématiquement l’objet d’une évaluation préalable impliquant le croisement des données PNR de tous les passagers avec des banques de données ou des critères préétablis, en vue d’établir des correspondances. Néanmoins, la Cour constitutionnelle précise que, si les critères doivent être spécifiques, fiables et non discriminatoires, il lui apparaît techniquement impossible de définir davantage les critères préétablis qui serviront à la détermination de profils à risque. En ce qui concerne le délai de conservation des données PNR prévu à l’article 12, paragraphe 1, de la directive PNR en vertu duquel lesdites données peuvent être conservées pour une période de cinq ans, la juridiction de renvoi considère que les données PNR seraient conservées sans tenir compte de la question de savoir si les passagers concernés seraient, dans le cadre de l’évaluation préalable, susceptibles ou non de présenter un risque pour la sécurité publique. Dans ces conditions, la juridiction de renvoi s’interroge sur le point de savoir si, eu égard à la jurisprudence issue notamment de l’arrêt du 21 décembre 2016, Tele2 Sverige et Watson e.a. ( 15 ) et de l’avis1/15 (Accord PNR UE-Canada), du 26 juillet 2017 ( 16 ), le système de collecte, de transfert, de traitement et de conservation des données PNR établi par la directive PNR peut être considéré comme ne dépassant pas les limites du strict nécessaire. Dans ce contexte, cette juridiction s’interroge, également, sur le point de savoir si la directive PNR s’oppose à une réglementation nationale, telle que celle résultant de l’article 8, paragraphe 1, point 4), de la loi PNR, qui autorise le traitement des données PNR pour une finalité autre que celles prévues par cette directive. Enfin, elle se demande si l’UIP peut être considéré comme « autre autorité nationale » susceptible, en vertu de l’article 12, paragraphe 3, sous b), ii), de la directive PNR, d’autoriser la communication de l’intégralité des données PNR après un délai de six mois. Quant au second moyen, la juridiction de renvoi relève que celui-ci est dirigé contre l’article 3, paragraphe 1, l’article 8, paragraphe 2, ainsi que les articles 28 à 31 de la loi PNR régissant la collecte et le traitement des données des passagers aux fins de lutter contre l’immigration illégale et d’améliorer les contrôles aux frontières. Rappelant que, selon la première de ces dispositions, cette loi couvre les vols à destination du territoire national, en provenance de celui-ci et transitant par celui-ci, cette juridiction précise que le législateur national avait inclus les vols « intra-UE » dans le champ d’application de ladite loi afin d’obtenir « un tableau plus complet des passagers qui constituent une menace potentielle pour la sécurité [au sein de l’Union] et nationale », en se fondant sur la possibilité prévue à l’article 2 de la directive PNR, lu en combinaison avec le considérant 10 de celle-ci.

37. C’est dans ce contexte que la Cour constitutionnelle a décidé de surseoir à statuer et de poser à la Cour des questions préjudicielles suivantes : « 1) L’article 23 du [RGPD], lu en combinaison avec l’article 2, paragraphe 2, sous d), de ce règlement, doit-il être interprété comme s’appliquant à une législation nationale telle que la loi [PNR], qui transpose la directive [PNR], ainsi que la directive [API] et la directive 2010/65 ? 2) L’annexe I [...] est-elle compatible avec les articles 7, 8, et l’article 52, paragraphe 1, de la [Charte], en ce sens que les données qu’elle énumère sont très larges – notamment les données visées au point 18 de [cette annexe I], qui dépassent les données visées à l’article 3, paragraphe 2, de la directive [API] – et en ce que, prises ensemble, elles pourraient révéler des données sensibles, et violer ainsi les limites du “strict nécessaire” ? 3) Les points 12 et 18 de l’annexe I [...] sont-ils compatibles avec les articles 7, 8, et l’article 52, paragraphe 1, de la [Charte], en ce que, compte tenu des termes “notamment” et “y compris”, les données qu’ils visent sont mentionnées à titre exemplatif et non exhaustif, de sorte que l’exigence de précision et de clarté des règles emportant une ingérence dans le droit au respect de la vie privée et dans le droit à la protection des données à caractère personnel ne serait pas respectée ? 4) L’article 3, point 4), de la directive [PNR] et l’annexe I [...] sont-ils compatibles avec les articles 7, 8, et l’article 52, paragraphe 1, de la [Charte], en ce que le système de collecte, de transfert et de traitement généralisés des données des passagers que ces dispositions instaurent vise toute personne qui utilise le moyen de transport concerné, indépendamment de tout élément objectif permettant de considérer que cette personne est susceptible de présenter un risque pour la sécurité publique ? 5) L’article 6 de la directive [PNR], lu en combinaison avec les articles 7, 8, et l’article 52, paragraphe 1, de la [Charte], doit-il être interprété comme s’opposant à une législation nationale telle que la loi attaquée, qui admet, comme finalité du traitement des données PNR, le suivi des activités visées par les services de renseignement et de sécurité, intégrant ainsi cette finalité dans la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que dans les enquêtes et les poursuites en la matière ? 6) L’article 6 de la directive [PNR] est-il compatible avec les articles 7, 8, et l’article 52, paragraphe 1, de la Charte, en ce que l’évaluation préalable qu’il organise, par une corrélation avec des banques de données et des critères préétablis, s’applique de manière systématique et généralisée aux données des passagers, indépendamment de tout élément objectif permettant de considérer que ces passagers sont susceptibles de présenter un risque pour la sécurité publique ? 7) La notion d’“autre autorité nationale compétente” visée à l’article 12, paragraphe 3, de la directive [PNR] peut-elle être interprétée comme visant l’UIP créée par la loi [PNR], qui pourrait dès lors autoriser l’accès aux données PNR, après un délai de six mois, dans le cadre de recherches ponctuelles ? 8) L’article 12 de la directive [PNR], lu en combinaison avec les articles 7, 8, et l’article 52, paragraphe 1, de la [Charte] doit-il être interprété comme s’opposant à une législation nationale telle que la loi attaquée qui prévoit un délai général de conservation des données de cinq ans, sans distinguer si les passagers concernés se révèlent, dans le cadre de l’évaluation préalable, susceptibles ou non de présenter un risque pour la sécurité publique ? 9) a) La directive [API] est-elle compatible avec l’article 3, paragraphe 2, [TUE] et l’article 45 de la [Charte], en ce que les obligations qu’elle instaure s’appliquent aux vols à l’intérieur de [l’Union] ? b) La directive [API], lue en combinaison avec l’article 3, paragraphe 2, [TUE] et avec l’article 45 de la [Charte], doit-elle être interprétée comme s’opposant à une législation nationale telle que la loi attaquée qui, aux fins de lutter contre l’immigration illégale et d’améliorer les contrôles aux frontières, autorise un système de collecte et de traitement des données des passagers “à destination du, en provenance du et transitant par le territoire national”, ce qui pourrait impliquer indirectement un rétablissement des contrôles aux frontières intérieures ? 10) Si, sur la base des réponses données aux questions préjudicielles qui précèdent, la Cour constitutionnelle devait arriver à la conclusion que la loi attaquée, qui transpose notamment la directive [PNR], méconnaît une ou plusieurs des obligations découlant des dispositions mentionnées dans ces questions, pourrait-elle maintenir provisoirement les effets de la loi [PNR] afin d’éviter une insécurité juridique et de permettre que les données collectées et conservées précédemment puissent encore être utilisées aux fins visées par [cette] loi ? »

38. Des observations écrites ont été déposées, en vertu de l’article 23 du statut de la Cour de justice de l’Union européenne, par la LDH, par les gouvernements belge, tchèque, danois, allemand, estonien, irlandais, espagnol, français, chypriote, letton, néerlandais, autrichien, polonais, finlandais, ainsi que par le Parlement européen, le Conseil de l’Union européenne, et la Commission européenne. Conformément à l’article 24 du statut de la Cour de justice de l’Union européenne, la Commission, le Contrôleur européen de la protection des données (CEPD) et l’Agence des droits fondamentaux de l’Union européenne (FRA) ont été invités à répondre par écrit à des questions posées par la Cour. Une audience de plaidoiries s’est déroulée le 13 juillet 2021.

III. Analyse

A. Sur la première question préjudicielle

39. Par sa première question préjudicielle, la juridiction de renvoi demande en substance à la Cour si l’article 2, paragraphe 2, sous d), du RGPD doit être interprété en ce sens que ce règlement, et notamment son article 23, paragraphe 1, aux termes duquel le droit de l’Union ou les droits des États membres peuvent, par la voie de mesures législatives, limiter, pour des raisons exhaustivement énumérées, la portée des obligations et des droits prévus par ledit règlement, s’applique aux traitements de données effectués sur le fondement d’une législation nationale, telle que la loi PNR, transposant en droit interne la directive PNR ainsi que la directive API et la directive 2010/65.

40. L’article 2, paragraphe 2, du RGPD prévoit des exceptions au champ d’application de ce règlement, tel que défini, de manière très large ( 17 ), à son article 2, paragraphe 1 ( 18 ). En tant que dérogations à l’application d’une réglementation régissant le traitement de données à caractère personnel susceptible de porter atteinte aux libertés fondamentales, ces exceptions doivent recevoir une interprétation stricte ( 19 ).

41. L’article 2, paragraphe 2, sous d), du RGPD contient, notamment, une clause d’exclusion aux termes de laquelle ce règlement ne s’applique pas au traitement de données à caractère personnel effectué « par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces ». Cette clause d’exclusion se fonde sur un double critère subjectif et objectif. Sont ainsi exclus du champ d’application dudit règlement les traitements de données effectués, premièrement, par les « autorités compétentes » et, deuxièmement, aux fins énumérées à cette disposition. Il convient, dès lors, d’apprécier les différents types de traitement de données couverts par la loi PNR au regard de ce double critère.

42. S’agissant, en premier lieu, des traitements de données effectués par les transporteurs (aériens, ferroviaires, terrestres et maritimes) à l’UIP ou par les opérateurs de voyage à des fins de prestation de service ou commerciales, pour autant que visés par ladite loi, ils demeurent régis par le RGPD, étant donné que ni le volet subjectif ni le volet objectif du critère d’exclusion contenu à l’article 2, paragraphe 2, sous d), de ce règlement ne sont remplis.

43. En ce qui concerne, en deuxième lieu, le transfert par les transporteurs ou les opérateurs de voyage des données PNR à l’UIP, qui constitue, en soi, un « traitement » au sens de l’article 4, point 2, du RGPD ( 20 ), son inclusion dans le champ d’application de ce règlement est moins évidente.

44. En effet, d’une part, ce transfert n’est pas opéré par une « autorité compétente » au sens de l’article 3, point 7), de la directive police, auquel il convient de se référer par analogie, en l’absence de définition de cette notion par le RGPD ( 21 ). Un opérateur économique, tel qu’une compagnie de transport ou une agence de voyage, auquel incombe uniquement une obligation légale de transfert de données à caractère personnel et auquel n’a été confiée aucune prérogative de puissance publique ( 22 ), ne saurait être considéré comme un organisme ou une entité au sens dudit article 3, point 7, sous b) ( 23 ).

45. D’autre part, le transfert des données PNR par les compagnies de transport et les opérateurs de voyage est effectué pour exécuter une obligation imposée par la loi dans le but de permettre la poursuite des fins énumérées à l’article 2, paragraphe 2, sous d), du RGPD.

46. Or, il ressort à mon sens clairement du libellé de cette disposition que seuls les traitements qui répondent à la fois au volet subjectif et au volet objectif du critère d’exclusion qu’elle énonce se situent en dehors du champ d’application du RGPD. Le transfert des données PNR à l’UIP imposé par la loi PNR aux compagnies de transport et aux opérateurs de voyage relève dès lors de ce règlement.

47. Pour ce qui est des dispositions de la loi PNR transposant la directive PNR, cette conclusion est corroborée par l’article 21, paragraphe 2, de cette directive, qui prévoit que celle-ci « s’applique sans préjudice de l’applicabilité de la directive 95/46/CE ( 24 ) au traitement des données à caractère personnel par les transporteurs aériens ». La lecture de cette disposition que suggère, notamment, le gouvernement français, selon laquelle celle-ci se borne à prévoir que les transporteurs restent soumis aux obligations fixées par le RGPD pour les traitements de données qui ne sont pas prévus par la directive PNR, doit à mon sens être écartée. En effet, au vu de son libellé, la portée de cette « clause de non-préjudice » est large et se définit uniquement par référence à l’auteur du traitement, aucune mention n’étant faite de la finalité du traitement ou du cadre dans lequel celui-ci intervient, s’il est effectué dans l’exercice de l’activité commerciale du transporteur aérien ou en exécution d’une obligation légale. J’observe, en outre, qu’une clause de la même teneur est contenue à l’article 13, paragraphe 3, de la directive PNR, qui se réfère tout particulièrement aux obligations incombant aux transporteurs aériens en vertu du RGPD « de prendre des mesures techniques et organisationnelles appropriées pour protéger la sécurité et la confidentialité des données à caractère personnel ». Or, cette disposition figure parmi celles qui organisent la protection des données personnelles traitées au titre de la directive PNR et suit l’article 13, paragraphe 1, de cette directive, qui, de manière générale, soumet tout traitement de données effectué en application de celle-ci aux dispositions de la décision-cadre 2008/977 qui y sont mentionnées. Contrairement à ce que soutient le gouvernement français, un tel agencement normatif permet, d’une part, de lire le paragraphe 3 dudit article 13 comme une clause ramenant sous l’empire du RGPD le seul traitement de données prévu par la directive PNR qui n’est pas effectué par des « autorités compétentes » au sens de la directive police et, d’autre part, de comprendre la référence au respect des obligations imposées par ledit règlement en matière de sécurité et de confidentialité des données comme un rappel des garanties qui doivent obligatoirement entourer le transfert des données PNR par les transporteurs aux UIP.

48. La conclusion énoncée au point 46 des présentes conclusions n’est pas remise en cause par le considérant 19 du RGPD et par le considérant 11 de la directive police, auxquels font, entre autres, référence les gouvernements allemand, irlandais et français pour soutenir la nature de lex specialis de la directive PNR. À cet égard, il est certes vrai que cette directive instaure, pour les traitements de données à caractère personnel qu’elle vise, un cadre de protection de ces données autonome par rapport au RGPD. Cependant, ce cadre spécifique ne s’applique qu’aux traitements des données PNR effectués par les « autorités compétentes », aux sens de l’article 3, point 7, de la directive police, au nombre desquelles figurent notamment les UIP, alors que le transfert des données PNR aux UIP reste soumis au cadre général établi par le RGPD en application, entre autres, de la « clause de non-préjudice » prévue à l’article 21, paragraphe 2, de la directive PNR.

49. À l’appui de leur thèse selon laquelle le RGPD ne s’applique pas au transfert des données PNR aux UIP par les transporteurs et les opérateurs de voyage, les gouvernements belge, irlandais, français et chypriote renvoient à l’arrêt du 30 mai 2006, Parlement/Conseil et Commission ( 25 ), dans lequel la Cour a dit pour droit que le transfert des données PNR par des transporteurs aériens communautaires aux autorités des États-Unis d’Amérique, dans le cadre d’un accord négocié entre ces derniers et la Communauté européenne, constituait un traitement de données à caractère personnel au sens de l’article 3, paragraphe 2, premier tiret, de la directive 95/46 ( 26 ) et ne relevait dès lors pas du champ d’application de cette directive. Pour arriver à cette conclusion, la Cour a tenu compte de la finalité du transfert ainsi que du fait que celui-ci « s’insérait dans un cadre institué par les pouvoirs publics », bien que les données fussent collectées et transférés par des opérateurs privés ( 27 ).

50. À cet égard, il suffit de relever que, dans l’arrêt du 6 octobre 2020, La Quadrature du Net e.a. ( 28 ), la Cour a, en substance, considéré l’arrêt Parlement/Conseil comme étant non transposable dans le contexte du RGPD ( 29 ).

51. Par ailleurs, au point 102 de l’arrêt La Quadrature du Net ( 30 ), procédant à une application par analogie du raisonnement suivi dans les arrêts Tele2 Sverige et du 2 octobre 2018, Ministerio Fiscal ( 31 ), la Cour a affirmé que, « si le [RGPD] précise, à son article 2, paragraphe 2, sous d), qu’il ne s’applique pas aux traitements “effectués par les autorités compétentes” à des fins, notamment, de prévention et de détection des infractions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces, il ressort de l’article 23, paragraphe 1, sous d) et h), du même règlement que les traitements de données à caractère personnel effectués à ces mêmes fins par des particuliers relèvent du champ d’application de celui-ci » ( 32 ).

52. Pour les raisons déjà exposées, je suis persuadé que la conclusion selon laquelle le transfert des données PNR par les compagnies de transport et les opérateurs de voyage aux UIP relève du RGPD ressort déjà clairement du libellé de l’article 2, paragraphe 2, sous d), du RGPD, qui ne se réfère qu’aux traitements effectués par des « autorités compétentes », sans qu’il soit nécessaire de se référer à la clause de limitation contenue à l’article 23, paragraphe 1, dudit règlement ( 33 ). Néanmoins, l’affirmation contenue au point 102 de l’arrêt La Quadrature du Net constitue une prise de position claire de la Cour en faveur d’une telle conclusion.

53. Puisque le transfert des données PNR par les compagnies de transport et les opérateurs de voyage tombent dans le champ d’application du RGPD, une législation nationale, telle la loi PNR, qui oblige ces compagnies et ces opérateurs à opérer un tel transfert, constitue une « mesure législative » au titre de l’article 23, point 1, sous d), du RGPD et doit, dès lors, répondre aux conditions prévues à cette disposition ( 34 ).

54. S’agissant, en troisième lieu, des traitements des données PNR effectués par l’UIP et les autorités nationales compétentes, l’applicabilité du RGPD dépend, ainsi que cela ressort des développements qui précèdent, des finalités que ces traitements poursuivent.

55. Ainsi, premièrement, les traitements de données PNR effectués par l’UIP et par les autorités nationales compétentes pour les finalités énumérées à l’article 8, § 1, points de 1 à 3 et 5, de la loi PNR ( 35 ), sont exclus du champ d’application du RGPD dans la mesure où, comme cela semble être le cas, lesdites finalités se rangent parmi celles couvertes par la clause d’exclusion inscrite à l’article 2, paragraphe 2, sous d), du RGPD. La protection des données des personnes concernées par ces traitements relève du droit national, sous réserve de l’application de la directive police ( 36 ) et, dans le cadre de son champ d’application, de la directive PNR.

56. Il en va de même, deuxièmement, des traitements des données PNR effectués par l’UIP et par les services de sécurité et de renseignement dans le cadre du suivi des activités visées aux dispositions de la loi organique des services de renseignement et de sécurité énumérées à l’article 8, § 1, point 4, de la loi PNR, dans la mesure où ils répondent aux finalités énoncées à l’article 2, paragraphe 2, sous d), du RGPD, ce qu’il incombe à la juridiction de renvoi d’apprécier.

57. Le gouvernement belge soutient que les traitements effectués au titre de l’article 8, § 1, point 4, de la loi PNR tombent en tous cas sous le coup de la clause d’exclusion prévues à l’article 2, paragraphe 2, sous a), du RGPD, ainsi que de celle prévue à l’article 2, paragraphe 3, sous a), de la directive police, étant donné que les activités des services de sécurité et de renseignement ne relèvent pas du champ d’application du droit de l’Union.

58. À cet égard, tout en soulignant que la Cour n’est pas saisie d’une question visant l’interprétation de ces dispositions, je relève, tout d’abord, que la Cour a déjà affirmé qu’une réglementation nationale imposant des obligations de traitement à des opérateurs privés relève des dispositions du droit de l’Union en matière de protection des données à caractère personnel, même lorsqu’elle vise la protection de la sécurité nationale ( 37 ). Il s’ensuit que le transfert des données PNR imposé par la loi PNR aux transporteurs et aux opérateurs de voyage relève en principe du RGPD même lorsqu’il est effectué aux fins de l’article 8, § 1, point 4, de cette loi.

59. Ensuite, je relève que, si le considérant 16 du RGPD énonce que celui-ci ne s’applique pas aux « activités relatives à la sécurité nationale » et le considérant 14 de la directive police précise qu’« il convient que les activités relatives à la sécurité nationale, les activités des agences ou des services responsables des questions de sécurité nationale [...] ne soient pas considérées comme des activités relevant du champ d’application de [cette] directive », les critères sur le fondement desquels un traitement de données personnelles effectué par une autorité, un service ou une agence publics d’un État membre tombe dans le champ d’application de l’un ou de l’autre acte de droit de l’Union organisant la protection des personnes concernées à l’égard de tels traitements ou se situe en dehors du champ d’application de ce droit répondent à une logique liée tant aux fonctions attribuées à cette autorité, à ce service ou à cette agence qu’aux finalités dudit traitement. Ainsi, la Cour a-t-elle jugé que l’article 2, paragraphe 2, sous a), du RGPD, lu à la lumière du considérant 16 de ce règlement, « doit être considéré comme ayant pour seul objet d’exclure du champ d’application dudit règlement les traitements de données à caractère personnel effectués par les autorités étatiques dans le cadre d’une activité qui vise à préserver la sécurité nationale ou d’une activité pouvant être rangée dans la même catégorie, de telle sorte que le seul fait qu’une activité soit propre à l’État ou à une autorité publique ne suffit pas pour que cette exception soit automatiquement applicable à une telle activité » ( 38 ). La Cour a également précisé que « les activités qui ont pour but de préserver la sécurité nationale visées à l’article 2, paragraphe 2, sous a), du RGPD couvrent, en particulier [...] celles ayant pour objet de protéger les fonctions essentielles de l’État et les intérêts fondamentaux de la société » ( 39 ). Il en résulte que, dans le cas où un État membre chargerait ses services de sécurité et de renseignement de missions dans les domaines énumérés à l’article 3, point 7, sous a), de la directive police, les traitements de données effectués par ces services pour l’accomplissement de ces missions tomberaient dans le champ d’application de cette directive ainsi que, le cas échéant, de la directive PNR. De manière plus générale, je relève que la Cour a itérativement jugé, dans le cadre de l’interprétation de l’article 4, paragraphe 2, TUE, sur lequel s’appuie entre autres le gouvernement belge, que le seul fait qu’une mesure nationale a été prise aux fins de la protection de la sécurité nationale ne saurait entraîner l’inapplicabilité du droit de l’Union et dispenser les États membres du respect nécessaire de ce droit ( 40 ), se montrant ainsi réticente à une exclusion automatique et en bloc du champ d’application du droit de l’Union des activités des États membres liées à la protection de la sécurité nationale.

60. Troisièmement, conformément à l’avis de tous les intéressés ayant présenté des observations, à l’exception du gouvernement français, il y a lieu de considérer que les traitements des données PNR effectués par les autorités compétentes belges pour les finalités énoncées à l’article 8, § 2, de la loi PNR, à savoir « l’amélioration des contrôles de personnes aux frontières extérieures et [la lutte] contre l’immigration illégale » ( 41 ) ne relèvent pas de la clause d’exclusion contenue à l’article 2, paragraphe 2, sous d), du RGPD, ni d’une autre cause d’exclusion prévue à cet article et tombent, dès lors, dans le champ d’application de ce règlement. Contrairement à ce que soutient le gouvernement français, lesdits traitements ne sauraient être régis par la directive PNR, dont l’article 1er, paragraphe 2, établit que « [l]es données PNR recueillies conformément à la présente directive ne peuvent être traitées qu’à des fins de prévention et de détection des infractions terroristes et des formes graves de criminalité ainsi que d’enquêtes et de poursuites en la matière » ni, en principe, par la directive police, qui, conformément à son article 1, paragraphe 1, ne s’applique qu’aux traitements de données à caractère personnel par les autorités compétentes « à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ». Ainsi qu’il ressort de la décision de renvoi, l’article 8, § 2, de la loi PNR et le chapitre 11 de cette loi, qui contient les dispositions régissant le traitement des données PNR en vue de l’amélioration du contrôle aux frontières et de la lutte contre l’immigration illégale, et qui prévoit à cette fin le transfert de ces données par l’UIP notamment aux services de police chargés du contrôle des frontières, visent à transposer en droit belge la directive API et la directive 2010/65. Or, ces deux directives imposent aux autorités compétentes, pour les traitements qu’elles prévoient, le respect des dispositions de la directive 95/46 ( 42 ). Contrairement à ce que soutient le gouvernement français, le renvoi aux règles protectrices de cette directive doit s’entendre comme couvrant tout traitement de données à caractère personnel effectués sur la base de la directive API et de la directive 2010/65. Le fait que la directive API soit antérieure à l’entrée en vigueur de la décision‑cadre 2008/977 n’est pas pertinent à cet égard puisque cette décision‑cadre, ainsi que la directive police qui l’a remplacée, ne concernent que les traitements de données à caractère personnel visées à l’article 3, paragraphe 1, de la directive API, effectués par les autorités compétentes à des fins répressives ( 43 ).

61. Sur la base de l’ensemble des considérations qui précèdent, je propose à la Cour de répondre à la première question préjudicielle que l’article 23 du RGPD, lu en combinaison avec l’article 2, paragraphe 2, sous d), de ce règlement, doit être interprété en ce sens : – qu’il s’applique à une législation nationale transposant la directive PNR dans la mesure où cette législation régit les traitements des données PNR effectués par les transporteurs et par d’autres opérateurs économiques, y inclus le transfert de données PNR aux UIP, prévu à l’article 8 de ladite directive ; – qu’il ne s’applique pas à une législation nationale transposant la directive PNR dans la mesure où celle-ci régit les traitements de données effectués pour les finalités prévues à l’article 1er, paragraphe 2, de cette directive par les autorités nationales compétentes, y incluses les UIP et, le cas échéant, les services de sécurité et de renseignement de l’État membre intéressé ; – qu’il s’applique à une législation nationale transposant la directive API et la directive 2010/65 en vue de l’amélioration du contrôle de personnes aux frontières extérieures et en vue de lutter contre l’immigration illégale.

B. Sur les deuxième, troisième, quatrième, sixième et huitième questions préjudicielles

62. Par ses deuxième, troisième, quatrième et sixième questions préjudicielles, la Cour constitutionnelle interroge la Cour sur la validité de la directive PNR à l’égard des articles 7, 8, et de l’article 52, paragraphe 1, de la Charte. La huitième question préjudicielle, bien qu’étant libellée comme une question d’interprétation, vise, elle aussi, en substance, à obtenir de la Cour qu’elle se prononce sur la validité de cette directive.

63. Ces questions portent sur les différents éléments du système de traitement des données PNR établi par la directive PNR et sollicitent, par rapport à chacun de ces éléments, une évaluation du respect des conditions auxquelles est soumise la légalité des limitations apportées à l’exercice des droits fondamentaux énoncés aux articles 7 et 8 de la Charte. Ainsi, les deuxième et troisième questions préjudicielles visent le catalogue des données PNR figurant à l’annexe I, la quatrième concerne la définition de la notion de « passager » visée à l’article 3, point 4), de la directive PNR, la sixième porte sur l’utilisation des données PNR aux fins de l’évaluation préalable au titre de l’article 6 de cette directive et la huitième concerne le délai de conservation des données PNR prévu à l’article 12, paragraphe 1, de ladite directive.

1. Sur les droits fondamentaux énoncés aux articles 7 et 8 de la Charte

64. L’article 7 de la Charte garantit à toute personne le droit au respect de sa vie privée et familiale, de son domicile et de ses communications. Quant à l’article 8, paragraphe 1, de la Charte, celui-ci reconnaît explicitement à toute personne le droit à la protection des données à caractère personnel la concernant. Selon une jurisprudence constante, ces droits, qui se rapportent à toute information concernant une personne physique identifiée ou identifiable, sont étroitement liés, l’accès à des données à caractère personnel d’une personne physique en vue de leur conservation ou de leur utilisation affectant le droit de cette personne au respect de la vie privée ( 44 ).

65. Les droits consacrés aux articles 7 et 8 de la Charte n’apparaissent cependant pas comme étant des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société ( 45 ). L’article 8, paragraphe 2, de la Charte autorise ainsi le traitement des données à caractère personnel si certaines conditions sont réunies. Cette disposition prévoit que les données à caractère personnel doivent être traitées « loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi ».

66. Toute limitation apportée au droit à la protection des données personnelles, ainsi qu’au droit à la vie privée, doit en outre respecter les prescriptions de l’article 52, paragraphe 1, de la Charte. Ainsi, une telle limitation doit être prévue par la loi, respecter le contenu essentiel desdits droits et, dans le respect du principe de proportionnalité, être nécessaire et répondre effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui.

67. L’appréciation d’une mesure limitant lesdits droits doit tenir compte également de l’importance des droits consacrés aux articles 3, 4, 6 et 7 de la Charte, et de celle qui revêtent les objectifs de protection de la sécurité nationale et de lutte contre la criminalité grave en contribuant à la protection des droits et des libertés d’autrui ( 46 ). À cet égard, l’article 6 de la Charte consacre le droit de toute personne non seulement à la liberté mais également à la sûreté ( 47 ).

68. Par ailleurs, l’article 52, paragraphe 3, de la Charte vise à assurer la cohérence nécessaire entre les droits énoncés dans celle-ci et les droits correspondants garantis par la CEDH, dont il convient de tenir compte en tant que seuil de protection minimale ( 48 ). Le droit au respect de la vie privée et familiale, consacré à l’article 7 de la Charte, correspond à celui garanti à l’article 8 de la CEDH et doit, par conséquent, se voir reconnaître le même sens et la même portée ( 49 ). Il ressort de la jurisprudence de la Cour européenne des droits de l’homme (ci-après la « Cour EDH ») qu’une ingérence dans les droits garantis à cet article ne peut se justifier au regard du paragraphe 2 dudit article que si elle est prévue par la loi, vise un ou plusieurs des buts légitimes énumérés dans ce paragraphe et est nécessaire, dans une société démocratique, pour atteindre ce ou ces buts ( 50 ). La mesure doit aussi être compatible avec la prééminence du droit, expressément mentionnée dans le préambule de la CEDH et inhérente à l’objet et au but de l’article 8 de celle-ci ( 51 ).

69. C’est à la lumière de ces principes qu’il convient d’examiner les questions en appréciation de validité posées par la Cour constitutionnelle.

2. Sur l’ingérence dans les droits fondamentaux énoncés aux articles 7 et 8 de la Charte

70. La Cour a déjà jugé que des dispositions imposant ou permettant la communication de données personnelles de personnes physiques à un tiers, telle une autorité publique, doivent être qualifiées, en l’absence de consentement de ces personnes physiques et quelle que soit l’utilisation ultérieure des données en cause, d’ingérences dans leur vie privée et, partant, de limitation apportée au droit fondamental garanti à l’article 7 de la Charte, sans préjudice de leur éventuelle justification ( 52 ). Il en est ainsi même en l’absence de circonstances permettant de qualifier une telle ingérence de « grave » et sans qu’il importe que les informations relatives à la vie privée concernées présentent ou non un caractère sensible ou que les intéressés aient ou non subi d’éventuels inconvénients en raison de ladite ingérence ( 53 ). L’accès des autorités publiques à de telles informations constitue pareillement une ingérence dans le droit fondamental à la protection des données à caractère personnel garanti à l’article 8 de la Charte, puisqu’il constitue un traitement de données à caractère personnel ( 54 ). De même, constitue en soi une ingérence dans les droits garantis aux articles 7 et 8 de la Charte la conservation, pendant une certaine durée, des données relative à la vie privée d’une personne ( 55 ).

71. La Cour a également déjà jugé que les données PNR, telles que celles énumérées à l’annexe I, comportent des informations sur des personnes physiques identifiées, à savoir les passagers aériens concernés, et que, dès lors, les différents traitements dont ces données peuvent faire l’objet affectent le droit fondamental au respect de la vie privée, garanti à l’article 7 de la Charte. Ces traitements relèvent également de l’article 8 de la Charte et doivent, par suite, nécessairement satisfaire aux exigences de protection des données prévues à cet article ( 56 ).

72. Ainsi, les traitements des données PNR que permet la directive PNR et, notamment, pour ce qui revêt un intérêt aux fins de la présente affaire, le transfert de ces données par les transporteurs aériens aux UIP, leur utilisation par ces unités, leur transfert ultérieur vers des autorités nationales compétentes au sens de l’article 7 de cette directive, ainsi que leur conservation constituent autant d’ingérences dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte.

73. Quant à la gravité de ces ingérences, il y a lieu de relever, premièrement, que la directive PNR prévoit le transfert systématique et continu aux UIP des données PNR de tout passager aérien, tel que cela est défini à l’article 3, point 4, de cette directive, empruntant un vol « extra-UE » au sens de l’article 3, point 2, de celle-ci. Un tel transfert implique un accès général de la part des UIP à toutes les données PNR communiquées ( 57 ). Cette constatation n’est pas remise en cause, contrairement à ce que font valoir certains États membres dans la présente procédure, par la circonstance que, puisque ces données sont soumises à un traitement automatisé, les UIP n’auront concrètement accès qu’aux données dont l’analyse a produit un résultat positif. En effet, d’une part, une telle circonstance n’a, à ce jour, pas empêché la Cour d’affirmer, dans le cadre de systèmes similaires de traitement automatisé de données personnelles collectées ou conservées « en vrac », le caractère général de l’accès des autorités publiques concernées à de telles données. D’autre part, la simple mise à la disposition des autorités publiques de données à caractère personnel en vue de leur traitement et de leur conservation par ces autorités comporte un accès a priori général et complet de celles-ci à de telles données et une ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel.

74. Deuxièmement, conformément à l’article 2, paragraphe 1, de la directive PNR, les États membres peuvent décider d’appliquer cette dernière aux vols « intra-UE » au sens de l’article 3, point 3, de celle-ci. À cet égard, je relève, d’une part, que la directive PNR ne se limite pas à prévoir la faculté pour les États membres d’étendre son application aux vols intra-UE, mais elle détermine également les conditions tant formelles que matérielles régissant l’exercice de cette faculté ( 58 ) et précise que, lorsque celle-ci n’est exercée que pour certains vols intra-UE, la sélection de ces vols doit être opérée en tenant compte des objectifs poursuivis par ladite directive ( 59 ). D’autre part, la directive PNR établit les conséquences de l’exercice d’une telle faculté, en prévoyant, à son article 2, paragraphe 2, que, lorsqu’un État membre décide d’appliquer cette directive aux vols intra-UE, toutes les dispositions de celle-ci « s’appliquent aux vols intra-UE comme s’il s’agissait de vols extra-UE et aux données PNR des vols intra-UE comme s’il s’agissait de données PNR de vols extra-UE ».

75. Dans ces circonstances, je suis d’avis, contrairement à ce qu’ont fait valoir un certain nombre de gouvernements ayant présenté des observations dans la présente procédure que, bien que l’application de la directive PNR aux vols intra-UE dépende du choix des États membres, la base légale des ingérences dans les droits au respect de la vie privée et à la protection des données à caractère personnel liées au transfert, au traitement et à la conservation des données PNR relatives à ces vols est constituée, lorsqu’un tel choix est effectué, par la directive PNR.

76. Or, mis à part le Royaume de Danemark, qui n’est pas soumis à cette directive ( 60 ), presque tous les États membres appliquent le régime établi par celle-ci aux vols « intra-UE » ( 61 ). Il s’ensuit que ce régime s’applique à tous les vols entrant et sortant de l’Union ainsi qu’à quasiment tous les vols opérés au sein de l’Union.

77. Troisièmement, s’agissant des données PNR à transférer, l’annexe I énumère 19 rubriques, visant des données biographiques ( 62 ), les détails du voyage aérien ( 63 ) et d’autres données recueillies dans le contexte du contrat de transport aérien, telles que le numéro de téléphone, l’adresse électronique, les modes de paiement, l’agence ou l’agent de voyage, les informations relatives aux bagages ainsi que des remarques générales ( 64 ). Or, ainsi que la Cour l’a indiqué au point 128 de l’avis 1/15, se prononçant sur les rubriques figurant à l’annexe du projet d’accord entre le Canada et l’Union européenne sur le transfert et le traitement de données des dossiers passagers (ci-après le « projet d’accord PNR Canada-UE »), formulées de manière largement analogues à celles de l’annexe I, « même si certaines des données PNR, prises isolément, ne paraissent pas pouvoir révéler des informations importantes sur la vie privée des personnes concernées, il n’en demeure pas moins que, prises ensemble, lesdites données peuvent, entre autres, révéler un itinéraire de voyage complet, des habitudes de voyage, des relations existant entre deux ou plusieurs personnes ainsi que des informations sur la situation financière des passagers aériens, leurs habitudes alimentaires ou leur état de santé, et pourraient même fournir des informations sensibles sur ces passagers ».

78. Quatrièmement, aux termes de l’article 6 de la directive PNR, les données transférées par les transporteurs aériens sont destinées à être analysées par les UIP par des moyens automatisés et cela de manière systématique, c’est-à-dire indépendamment du point de savoir s’il existe la moindre indication que les personnes concernées risquent d’être impliquées dans des infractions de terrorisme ou des formes graves de criminalité. Plus particulièrement, dans le cadre de l’évaluation préalable des passagers prévue à l’article 6, paragraphe 2, sous a), de cette directive et conformément au paragraphe 3, de cet article, lesdites données peuvent être vérifiées par recoupement avec des bases de données « utiles » [article 6, paragraphe 3, sous a)] et traitées au regard de critères préétablis [article 6, paragraphe 3, sous b)]. Or, le premier type de traitement est susceptibles de fournir des informations supplémentaires sur la vie privée des personnes concernées ( 65 ) et, en fonction des bases de données utilisées pour le recoupement, peut même permettre de tracer un profil précis de ces personnes. Dans ces circonstances, l’objection soulevée par plusieurs gouvernements, selon laquelle la directive PNR ne permet l’accès qu’à un ensemble de données personnelles relativement limité ne reflète pas de manière adéquate l’étendue potentielle des ingérences que cette directive comporte dans les droits fondamentaux protégés par les articles 7 et 8 de la Charte, sous l’angle de l’étendue des données auxquelles elle est susceptible de permettre l’accès. S’agissant du second type de traitement de données, prévu à l’article 6, paragraphe 3, sous b), de la directive PNR, je rappelle que, aux points 169 et 172 de l’avis 1/15, la Cour a souligné qu’il est inhérent à tout type d’analyse fondée sur des critères préétablis de présenter un certain taux d’erreur, et notamment un certain nombre de résultats « faux positifs ». Selon les données chiffrées contenues dans le document de travail des services de la Commission ( 66 ) (ci-après le « document de travail de 2020 ») annexé au rapport de la Commission de 2020, le nombre de cas de concordances positives s’étant, à la suite du réexamen individuel prévu à l’article 6, paragraphe 5, de la directive PNR, révélées erronées est assez conséquent et s’élevait, au cours des années 2018 et 2019, à au moins cinq sur six personnes identifiées ( 67 ).

79. Cinquièmement, conformément à l’article 12, paragraphe 1, de la directive PNR, les données PNR sont conservées dans une base de données pendant une période de cinq ans suivant leur transfert à l’UIP de l’État membre sur le territoire duquel se situe le point d’arrivée ou de départ du vol. La directive PNR permet, dès lors, de disposer d’informations sur la vie privée des passagers aériens sur une durée particulièrement longue ( 68 ). Par ailleurs, puisque le transfert des données PNR concerne la presque totalité des vols opérés au départ et à l’entrée de l’Union ainsi qu’au sein de celle-ci et que l’avion est devenu un moyen de transport plutôt habituel, une partie significative de passagers aériens pourraient voir leurs données personnelles conservées de manière pratiquement permanente, du seul fait qu’ils se déplacent en avion au moins deux fois tous les cinq ans.

80. Enfin, sur un plan plus général, la directive PNR prévoit des mesures qui, considérées globalement, visent à mettre en place au niveau de l’Union un système de surveillance « non ciblée », à savoir non déclenchée en fonction d’un soupçon pesant sur une ou plusieurs personnes spécifiques, « massive », en ce qu’elle s’exerce sur les données à caractère personnel d’un grand nombre d’individus ( 69 ), couvrant une même catégorie de personnes dans son entièreté ( 70 ) et « proactive », dans la mesure où elle vise non seulement à enquêter sur des menaces connues, mais également à trouver ou à identifier des dangers jusque-là inconnu ( 71 ). De telles mesures donnent lieu, par leur nature même, à des ingérences graves dans les droits fondamentaux protégés par les articles 7 et 8 de la Charte ( 72 ), liées notamment à leur finalité préventive et prédictive, qui nécessite l’évaluation de données à caractère personnel relatives à de larges segments de la population, le but étant d’« identifier » les personnes qui devraient, en fonction des résultat de cette évaluation, être soumises à un examen plus approfondi par les autorités compétentes ( 73 ). Par ailleurs, le recours de plus en plus généralisé, à des fins de prévention de certaines formes graves de criminalité, au traitement de grandes quantités de données à caractère personnel de nature diverse collectées « en vrac », ainsi que leur mise en relation et leur traitement combiné entraînent un « effet cumulatif » qui amplifie la gravité des restrictions aux droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, et risque de favoriser un processus de glissement graduel vers une « société de surveillance » ( 74 ).

81. Sur la base de l’ensemble des considérations qui précèdent, j’estime que l’ingérence que comporte la directive PNR dans les droits fondamentaux protégés par les articles 7 et 8 de la Charte doit à tout le moins être qualifiée de « grave ».

82. Il est vrai, ainsi que le soutient, en particulier, la Commission, que l’ensemble des garanties et des garde-fous que la directive PNR prévoit, notamment pour éviter une utilisation abusive des données PNR, est susceptible de réduire l’intensité ou la gravité de ces ingérences. Il n’en demeure pas moins que tout régime prévoyant l’accès et le traitement de données à caractère personnel de la part d’autorités publiques présente un niveau de gravité, sous l’angle de la protection des droits fondamentaux impactés, qui est inhérent à ses caractéristiques objectives. Ce niveau de gravité doit, à mon sens, être déterminé avant de procéder, dans le cadre de l’appréciation de la proportionnalité desdites ingérences, à l’évaluation du caractère suffisant et adéquat des garanties que ce régime prévoit. C’est ainsi que la Cour a, me semble-t-il, procédé jusqu’à présent.

83. Pour être compatibles avec la Charte, les ingérences que la directive PNR comporte dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel doivent satisfaire aux conditions énoncées aux points 65 et 66 des présentes conclusions, ce qui sera examiné ci-après dans les limites des aspects qui ont été soumis à l’attention de la Cour par la juridiction de renvoi.

3. Sur la justification de l’ingérence résultant de la directive PNR

84. Alors que la troisième question préjudicielle porte sur le respect de la condition visée à l’article 52, paragraphe 1, première phrase, de la Charte, selon laquelle toute ingérence dans un droit fondamental doit être « prévue par la loi », les deuxième, quatrième, sixième et huitième questions préjudicielles interrogent la Cour notamment sur le respect du principe de proportionnalité, visé à la seconde phrase de cette disposition.

a) Sur le respect de l’exigence selon laquelle toute limitation à l’exercice d’un droit fondamental prévu par la Charte doit être prévue par la loi

85. Selon une jurisprudence bien établie de la Cour ( 75 ), s’inspirant de la jurisprudence de la Cour EDH ( 76 ), l’exigence selon laquelle toute limitation à l’exercice d’un droit fondamental doit être « prévue par la loi » ne vise pas uniquement l’origine « légale » de l’ingérence – qui n’est pas en cause dans la présente affaire –, mais implique aussi que la base légale qui permet cette ingérence doit définir elle-même, de manière claire et précise, la portée de celle-ci. Ayant trait à la « qualité de la loi » et, donc, à l’accessibilité et à la prévisibilité de la mesure en cause ( 77 ), ce second volet que recouvre l’expression « prévue par la loi » au sens tant de l’article 52, paragraphe 1, de la Charte que de l’article 8, paragraphe 2, de celle-ci et de l’article 8 de la CEDH vise non seulement à assurer le respect du principe de légalité et une protection adéquate contre l’arbitraire ( 78 ), mais répond également à un impératif de sécurité juridique. Cette exigence est aussi affirmée dans l’avis du 19 août 2016 du comité consultatif de la convention 108 ( 79 ) sur les implications en matière de protection de données du traitement des données passagers (ci-après « l’avis du 19 août 2016 ») ( 80 ).

86. En adoptant la directive PNR, le législateur de l’Union a procédé lui-même à la limitation des droits consacrés aux articles 7 et 8 de la Charte. Les ingérences que cette directive permet dans lesdits droits ne sauraient donc être considérées comme la conséquence du choix des États membres ( 81 ), malgré la marge d’appréciation dont ces derniers ont pu bénéficier au moment de sa transposition dans le droit national, mais trouvent leurs base légale dans la directive PNR elle-même. Dans ces conditions, il incombait au législateur de l’Union, afin de se conformer à la jurisprudence rappelée au point 85 des présentes conclusions, ainsi qu’aux « normes élevées » de protection des droits fondamentaux contenues notamment dans la Charte et dans la CEDH auxquelles se réfère le considérant 15 de la directive PNR, d’édicter des règles claires et précises définissant tant la portée que l’application des mesures comportant lesdites ingérences.

87. Si, par sa troisième question préjudicielle, la juridiction de renvoi s’interroge spécifiquement sur le respect de cette obligation à l’égard des points 12 et 18 de l’annexe I, l’examen des deuxième, quatrième et sixième questions préjudicielles, par lesquelles cette juridiction soulève des doutes quant au caractère nécessaire des ingérences que comporte la directive PNR dans les droits fondamentaux énoncés aux article 7 et 8 de la Charte, requerra également de prendre position sur le caractère suffisamment clair et précis des dispositions de la directive PNR mises en cause.

88. Bien que cette analyse ait trait, ainsi que je l’ai exposé au point 85 des présentes conclusions, à la légalité de l’ingérence, au sens de l’article 52, paragraphe 1, première phrase, de la Charte, j’y procéderai dans le cadre de l’examen de sa proportionnalité, visé à la seconde phrase de ce paragraphe, conformément à l’approche suivi tant par la Cour que par la Cour EDH dans les affaires où sont en cause des mesures ayant pour objet le traitement des données personnelles ( 82 ).

b) Sur le respect du contenu essentiel des droits énoncés aux articles 7 et 8 de la Charte

89. Conformément à l’article 52, paragraphe 1, première phrase, de la Charte, toute restriction apportée à l’exercice des droits fondamentaux doit non seulement reposer sur une base légale suffisamment précise, mais également respecter le contenu essentiel de ces droits.

90. Ainsi que je l’ai exposé au point 66 des présentes conclusions, cette exigence – que l’on retrouve incorporée dans les constitutions de différents États membres ( 83 ), et qui, tout en n’étant pas expressément reconnue par la CEDH, est néanmoins bien ancrée dans la jurisprudence de la Cour EDH ( 84 ) – se trouve inscrite à l’article 52, paragraphe 1, de la Charte ( 85 ). Reconnue par la Cour bien avant sa codification ( 86 ), une telle exigence a été constamment réaffirmée dans la jurisprudence des juridictions de l’Union, même après l’entrée en vigueur du traité de Lisbonne.

91. Il ressort notamment de l’arrêt du 6 octobre 2015, Schrems ( 87 ), que le non‑respect du contenu essentiel d’un droit fondamental par un acte de l’Union entraîne de manière automatique la nullité ou l’invalidité de celui-ci, sans qu’il soit nécessaire de procéder à un balancement des intérêts en jeu. La Cour reconnaît ainsi que tout droit fondamental présente un « noyau dur », garantissant à tout un chacun une sphère de liberté à l’abri de toute ingérence par les pouvoirs publics et qui ne peut subir de limitations ( 88 ), sauf à remettre en question les principes démocratique, de l’État de droit et du respect de la dignité humaine qui sous-tendent la protection des droits fondamentaux. Il ressort, par ailleurs, tant du libellé de l’article 52, paragraphe 1, de la Charte que de la jurisprudence de la Cour, et, notamment, de l’arrêt Schrems I, que l’appréciation portant sur l’existence d’une ingérence dans le contenu essentiel du droit fondamental en cause doit être menée préalablement à et indépendamment de l’évaluation de la proportionnalité de la mesure incriminée. Il s’agit, en d’autres termes, d’un test doté de sa propre autonomie.

92. Cela étant, déterminer ce que constitue le « contenu essentiel », et, dès lors, intouchable, d’un droit fondamental susceptible d’être limité dans son exercice est une opération extrêmement complexe. Si, pour remplir sa fonction, cette notion devrait pouvoir être définie en des termes absolus, eu égard aux caractéristiques essentielles du droit fondamental en cause, aux intérêts subjectifs et objectifs qu’il vise à protéger, et, plus en général, à sa fonction dans une société démocratique fondée sur le respect de la dignité humaine ( 89 ), en pratique une telle opération s’avère presque impossible, à tout le moins sans tenir compte de critères qui sont habituellement employés dans l’examen de la proportionnalité de l’ingérence dans le droit en cause, tels la gravité de cette ingérence, son étendue ou sa dimension temporelle et, dès lors, sans tenir compte des spécificités de chaque cas d’espèce.

93. S’agissant notamment du droit fondamental au respect de la vie privée, il convient de tenir compte non seulement de l’importance que revêt, pour la santé mentale et physique de tout individu, son bien-être, son autonomie, son épanouissement personnel, sa capacité de construire et de cultiver des relations sociales, le fait de disposer d’une sphère privée dans laquelle développer son intériorité personnelle, mais également du rôle que joue ce droit afin de préserver d’autres droits et libertés, tels que, notamment les libertés de pensée, de conscience, de religion, d’expression, d’information, dont la pleine jouissance suppose la reconnaissance d’une sphère d’intimité. Plus généralement, il convient de tenir compte de la fonction que remplit dans une société démocratique le respect du droit à la vie privée ( 90 ). La Cour semble apprécier l’existence d’une atteinte au contenu essentiel de ce droit en considérant tant l’intensité que l’étendue de l’ingérence, ce qui conduit à considérer qu’une telle atteinte est définie plutôt quantitativement que qualitativement. Ainsi, d’une part, dans l’arrêt Digital Rights, la Cour a en substance considéré que l’obligation de conservation des données imposée par la directive 2006/24/CE ( 91 ) n’atteignait pas un niveau de gravité telle qu’elle impacterait le contenu essentiel du droit au respect de la vie privé, puisqu’elle ne permettait pas de « prendre connaissance du contenu des communications électroniques en tant que tel » ( 92 ). D’autre part, dans l’avis 1/15, la Cour a en substance considéré qu’une limitation cantonnée à seulement certains aspects de la vie privée des personnes concernées ne pouvait pas donner lieu à une ingérence dans le contenu essentiel de ce droit fondamental ( 93 ).

94. Quant au droit fondamental à la protection des données à caractère personnel, la Cour semble considérer que le contenu essentiel de ce droit est préservé lorsque la mesure qui établit l’ingérence circonscrit les finalités du traitement et prévoit des règles assurant la sécurité des données visées, notamment contre la destruction accidentelle ou illicite, la perte ou l’altération accidentelle ( 94 ).

95. Dans la présente affaire, si la juridiction de renvoi n’a pas évoqué de manière explicite l’exigence de respect du contenu essentiel des droits énoncés aux articles 7 et 8 de la Charte, la question du respect de cette exigence est, à mon sens, sous-jacente à la quatrième et à la sixième question préjudicielle. C’est la raison pour laquelle je suggère à la Cour de l’aborder.

96. À cet égard, je rappelle que, au point 150 de l’avis 1/15, tout en reconnaissant que les données PNR « peuvent, le cas échéant, révéler des informations très précises sur la vie privée d’une personne » ( 95 ) et que ces informations peuvent dévoiler, directement ou indirectement, des données sensibles de la personne concernée ( 96 ), la Cour a néanmoins conclu, s’agissant du projet d’accord PNR Canada-UE, que, puisque la « nature de ces informations [était] limitée à certains aspects de cette vie privée, relatifs en particulier aux voyages aériens entre le Canada et l’Union », l’atteinte au droit fondamental au respect de la vie privée n’était pas de nature à affecter le contenu essentiel dudit droit.

97. Or, mise à part la circonstance que les données PNR visées par le projet d’accord PNR Canada-UE devaient être transférées vers un État tiers et que leur traitement ultérieur devait être effectué par les autorités de cet État tiers sur son territoire, les ingérences dans le droit fondamental au respect de la vie privée résultant dudit projet d’accord et celles prévues par la directive PNR sont, quant à leur nature, largement coïncidentes. Il en est ainsi, notamment, des données PNR visées, du caractère systématique et généralisé du transfert et du traitement de ces données, de la nature automatisée de celui-ci ainsi que de la conservation desdites données. En revanche, ce qui différencie les deux affaires est, pour ainsi dire, la « couverture géographique » de ces ingérences. En effet, ainsi que je l’ai indiqué au point 77 des présentes conclusions, les traitements des données en cause dans la présente affaire ne sont pas limités aux liaisons aériennes avec un seul pays tiers, comme c’était le cas dans l’avis 1/15, mais portent sur quasiment tous les vols entrant et sortant de l’Union, et opérés au sein de celle-ci. Il s’ensuit que, par rapport au projet d’accord PNR Canada-UE, la directive PNR impose le traitement systématique d’un nombre sensiblement plus important de passagers aériens, se déplaçant par avion à l’intérieur et à l’extérieur de l’Union. En outre, étant donné l’augmentation du volume des données traitées ainsi que de la fréquence avec laquelle elles sont collectées, leur traitement est vraisemblablement susceptible de fournir des informations à la fois plus précises et plus amples sur la vie privée des personnes concernées (habitudes de voyage, relations personnelles, situations financières, etc.).

98. Il n’en reste pas moins que, comme c’était le cas dans l’avis 1/15, ces informations, considérées de manière isolée, ne portent que sur certains aspects de la vie privée, liés aux voyages aériens. Or, compte tenu de la nécessité de définir la notion de « contenu essentiel » des droits fondamentaux de manière restrictive, afin que celle-ci garde sa fonction de bastion contre les attaques à la substance même de ces droits, je suis de l’avis que la conclusion à laquelle la Cour est arrivée au point 150 de l’avis 1/15 peut être transposée à la présente affaire.

99. Dans l’avis 1/15, la Cour a aussi exclu une atteinte au contenu essentiel du droit à la protection des données à caractère personnel ( 97 ). Cette conclusion est, à mes yeux, également transposable aux circonstances de la présente affaire. En effet, tout comme c’était le cas du projet d’accord PNR Canada-UE, la directive PNR circonscrit, à son article 1, paragraphe 2, les finalités du traitement des données PNR. Par ailleurs, cette directive ainsi que les autres actes de l’Union auxquelles celle-ci renvoie, notamment le RGPD et la directive police, contiennent des dispositions spécifiques destinées à assurer, en particulier, la sécurité, la confidentialité et l’intégrité de ces données, ainsi qu’à les protéger contre les accès et les traitements illégaux. S’il ne saurait être considéré qu’une réglementation telle que celle prévue par la directive PNR touche au contenu essentiel des droits fondamentaux protégés par les articles 7 et 8 de la Charte, il n’en reste pas moins qu’elle doit être soumise à un contrôle strict et rigoureux de sa proportionnalité.

c) Sur le respect de l’exigence selon laquelle l’ingérence doit répondre à un objectif d’intérêt général

100. La directive PNR vise, notamment, à assurer la sécurité intérieure de l’Union et à protéger la vie et la sécurité des personnes au moyen d’un transfert des données PNR aux autorités compétentes des États membres en vue de leur utilisation dans le cadre de la lutte contre le terrorisme et la criminalité grave ( 98 ).

101. Plus particulièrement, il ressort de l’article 1, paragraphe 2, de la directive PNR, lu en combinaison avec ses considérants 6 et 7, ainsi que de la proposition de la Commission ayant mené à l’adoption de cette directive (ci-après la « proposition de directive PNR ») ( 99 ), que, dans le cadre d’un tel objectif, les données PNR sont utilisées par les autorités répressives ( 100 ) de différentes manières. Premièrement, ces données sont utilisées afin d’identifier des personnes impliquées ou suspectées d’être impliquées dans des infractions terroristes et des formes graves de criminalité qui ont déjà été commises, de rassembler des preuves ainsi que, le cas échéant, de trouver les complices de criminels et de démanteler des réseaux criminels (utilisation en « mode réactif »). Deuxièmement, les données PNR peuvent être évaluées avant l’arrivée ou le départ des passagers afin de prévenir la commission d’un crime et d’identifier des personnes qui n’étaient pas auparavant soupçonnées de participation à des infractions terroristes ou à des formes graves de criminalité et qui, sur la base du résultat de cette évaluation, devraient être soumises à un examen plus approfondi par les autorités répressives (utilisation en «mode réel »). Enfin, les données PNR sont utilisées aux fins de définir des critères d’évaluation pouvant par la suite être appliqués dans l’appréciation du risque que représentent les passagers avant leur arrivée et avant leur départ (utilisation en « mode proactif »). Une telle utilisation proactive des données PNR devrait permettre aux services répressifs de contrer la menace que représentent la grande criminalité et le terrorisme sous un angle différent de ce que permet le traitement d’autres catégories de données à caractère personnel ( 101 ).

102. Il ressort de la jurisprudence de la Cour que l’objectif de protection de la sécurité publique, couvrant notamment la prévention, la recherche, la détection et la poursuite tant d’infractions terroristes que d’infractions pénales relevant de la criminalité grave, constitue un objectif d’intérêt général de l’Union, au sens de l’article 52, paragraphe 1, de la Charte, susceptible de justifier des ingérences, même graves, dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte ( 102 ).

103. La Cour a également reconnu que les objectifs de sauvegarde de la sécurité publique et de lutte contre la criminalité grave contribuent à la protection des droits et des libertés d’autrui ( 103 ). Ainsi, s’agissant de la pondération équilibrée entre ces objectifs et les droits fondamentaux consacrés aux articles 7 et 8 de la Charte ( 104 ), il convient de tenir compte également de l’importance des droits consacrés aux articles 3, 4, 6 et 7 de la Charte. À cet égard, si, dans l’arrêt La Quadrature du Net, la Cour a considéré que l’article 6 de la Charte « ne saurait être interprété comme imposant aux pouvoirs publics une obligation d’adopter des mesures spécifiques en vue de réprimer certaines infractions pénales » ( 105 ), en revanche, en ce qui concerne, en particulier, la lutte effective contre les infractions pénales dont sont victimes, notamment, les mineurs et les autres personnes vulnérables, elle a souligné que des obligations positives à la charge des pouvoirs publics peuvent résulter tant de l’article 7 de la Charte, en vue de l’adoption de mesures juridiques visant à protéger la vie privée et familiale, que des articles 3 et 4 de celle-ci, s’agissant de la protection de l’intégrité physique et psychique des personnes ainsi que de l’interdiction de la torture et des traitements inhumains et dégradants ( 106 ).

104. Enfin, la Cour a considéré que l’importance de l’objectif de sauvegarde de la sécurité nationale dépasse celle des objectifs de lutte contre la criminalité en général, même grave, ainsi que de sauvegarde de la sécurité publique et qu’il est, dès lors, susceptible de justifier des mesures comportant des ingérences dans les droits fondamentaux plus graves que celles que pourraient justifier ces autres objectifs ( 107 ). Les activités de terrorisme étant susceptibles de constituer des menaces à la sécurité nationale des États membres, le système mis en œuvre par la directive PNR, dans la mesure où il sert d’instrument de lutte contre de telles activités, participe à l’objectif de sauvegarde de la sécurité nationale des États membres.

d) Sur le respect du principe de proportionnalité

105. Conformément à l’article 52, paragraphe 1, seconde phrase, de la Charte, dans le respect du principe de proportionnalité, des limitations à l’exercice d’un droit fondamental reconnu par celle-ci ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui.

106. À cet égard, il convient de rappeler que le principe de proportionnalité exige, selon une jurisprudence constante de la Cour, que les actes des institutions de l’Union soient aptes à réaliser les objectifs légitimes poursuivis par la réglementation en cause et ne dépassent pas les limites de ce qui est approprié et nécessaire à la réalisation de ces objectifs ( 108 ).

107. Conformément à la jurisprudence constante de la Cour, la protection du droit fondamental au respect de la vie privée au niveau de l’Union exige que les dérogations à la protection des données à caractère personnel et les limitations de celle‑ci s’opèrent dans les limites du strict nécessaire. En outre, un objectif d’intérêt général ne saurait être poursuivi sans tenir compte du fait qu’il doit être concilié avec les droits fondamentaux concernés par la mesure, cela en effectuant une pondération équilibrée entre, d’une part, l’objectif d’intérêt général et, d’autre part, les droits en cause ( 109 ). Plus particulièrement, la proportionnalité d’une limitation aux droits consacrés aux articles 7 et 8 de la Charte doit être appréciée en mesurant la gravité de l’ingérence que comporte une telle limitation et en vérifiant que l’importance de l’objectif d’intérêt général poursuivi par cette limitation est en relation avec cette gravité ( 110 ).

108. Il ressort de la jurisprudence de la Cour que, pour satisfaire à l’exigence de proportionnalité, la directive PNR, en tant que base légale comportant les ingérences dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte décrites aux points 70 à 83 des présentes conclusions, doit prévoir des règles claires et précises régissant la portée et l’application des mesures comportant de telles ingérences, et imposer des exigences minimales, de telle sorte que les personnes dont les données ont été transférées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d’abus ainsi que contre tout accès et toute utilisation illicites de ces données ( 111 ). La nécessité de disposer de telles garanties est d’autant plus importante lorsque, comme en l’espèce, les données à caractère personnel sont soumises à un traitement automatisé et lorsque est en jeu la protection de cette catégorie particulière des données à caractère personnel que sont les données sensibles ( 112 ).

109. S’agissant de l’étendue du contrôle juridictionnel du respect des exigences découlant du principe de proportionnalité, compte tenu du rôle important que joue la protection des données à caractère personnel au regard du droit fondamental au respect de la vie privée et de l’ingérence dans ces droits que comporte la directive PNR, le pouvoir d’appréciation du législateur de l’Union s’avère réduit de sorte que ce contrôle doit être strict ( 113 ).

1) Sur l’aptitude des traitements des données PNR visés par la directive PNR au regard de l’objectif poursuivi

110. Au point 153 de l’avis 1/15, la Cour a affirmé, s’agissant du projet d’accord PNR Canada-UE, que le transfert des données PNR vers le Canada et les traitements ultérieurs de celles-ci peuvent être considérés comme étant aptes à garantir la réalisation de l’objectif tenant à la protection de la sécurité et de la sûreté publiques. Cette aptitude, reconnue depuis longtemps tant aux niveaux de l’Union que mondial ( 114 ) ne me semble pouvoir être remise en cause s’agissant de la collecte et du traitement ultérieure des données PNR pour ce qui concerne tant les vols extra-UE que les vols intra-UE ( 115 ).

111. Cela étant, l’efficacité du système de traitement des données PNR établi par la directive ne peut qu’être évalué en concret, en appréciant les résultats de son application ( 116 ). Dans cette optique, il est essentiel qu’une telle efficacité fasse l’objet d’une évaluation continue sur la base de données statistiques le plus précises et fiables possible ( 117 ). À cet égard, la Commission devrait, à des échéances régulières, procéder à un réexamen analogue à celui déjà prévu à l’article 19 de la directive PNR.

2) Sur le caractère strictement nécessaire de l’ingérence

112. Bien que la Cour constitutionnelle n’ait pas soulevé de manière explicite des doutes quant au fait que la directive PNR contient des règles claires, précises et limitées au strict nécessaire en ce qui concerne la délimitation des finalités du traitement des données PNR ( 118 ), l’analyse de la proportionnalité du système prévu par cette directive, sollicitée par la juridiction de renvoi, ne peut pas, à mon sens, omettre d’aborder cette question ( 119 ).

i) Sur la délimitation des finalités du traitement des données PNR

113. Une claire délimitation des finalités pour lesquelles l’accès à des données à caractère personnel par les autorités compétentes ainsi que leur utilisation ultérieure par celles-ci sont permis constitue une exigence essentielle de tout système de traitement de données notamment à des fins répressives. La satisfaction de cette exigence est, par ailleurs, nécessaire afin de permettre à la Cour d’apprécier la proportionnalité des mesures en cause, en appliquant le test de gravité de l’ingérence par rapport à l’importance de l’objectif poursuivi établi dans sa jurisprudence ( 120 ).

114. La Cour a souligné l’importance d’une claire délimitation des finalités des mesures comportant des limitations aux droits fondamentaux au respect de la vie privée et à la protection des données personnelles, notamment dans l’arrêt Digital Rights, dans lequel elle a déclaré comme