CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. Philippe LÉGER

présentées le 22 novembre 2005 ( )

















Table des matières





Page





I – Les antécédents du litige

II – Le cadre juridique des deux affaires

A – Le traité UE

B – Le traité instituant la Communauté européenne

C – Le droit européen de la protection des données à caractère personnel

III – Les décisions attaquées

A – La décision d’adéquation

B – La décision du Conseil

IV – Les moyens soulevés par le Parlement dans les deux affaires

V – Sur le recours visant à l’annulation de la décision d’adéquation (affaire C-318/04)

A – Sur le moyen tiré de ce que la Commission aurait commis un excès de pouvoir en adoptant la décision d’adéquation

1. Arguments des parties

2. Appréciation

B – Sur les moyens tirés d’une violation des droits fondamentaux et d’une violation du principe de proportionnalité

VI – Sur le recours visant à l’annulation de la décision du Conseil (affaire C-317/04)

A – Sur le moyen tiré du choix erroné de l’article 95 CE comme base juridique de la décision du Conseil

1. Arguments des parties

2. Appréciation

B – Sur le moyen tiré de la violation de l’article 300, paragraphe 3, deuxième alinéa, CE, en raison d’une modification de la directive 95/46

1. Arguments des parties

2. Appréciation

C – Sur les moyens tirés de la violation du droit à la protection des données à caractère personnel et de la violation du principe de proportionnalité

1. Arguments des parties

2. Appréciation

a) Sur l’existence d’une ingérence dans la vie privée

b) Sur la justification de l’ingérence dans la vie privée

i) L’ingérence est-elle prévue par la loi?

ii) L’ingérence poursuit-elle un but légitime?

iii) L’ingérence est-elle nécessaire dans une société démocratique pour atteindre un tel but?

D – Sur le moyen tiré de ce que la décision du Conseil ne serait pas suffisamment motivée

E – Sur le moyen tiré de la violation du principe de coopération loyale prévu à l’article 10 CE

VII – Sur les dépens

VIII – Conclusion

Affaire C-317/04

Parlement européen

contre

Conseil de l’Union européenne

«Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Recours en annulation – Décision 2004/496/CE du Conseil – Accord entre la Communauté européenne et les États-Unis d’Amérique sur le traitement et le transfert de données PNR (‘Passenger Name Records’)»

Affaire C-318/04

Parlement européen

contre

Commission des Communautés européennes

«Recours en annulation – Décision 2004/535/CE de la Commission, relative au niveau de protection adéquat des données à caractère personnel contenues dans les dossiers des passagers aériens transférés au Bureau des douanes et de la protection des frontières des États-Unis d’Amérique – Directive 95/46/CE»

1. Le Parlement européen a saisi la Cour de deux recours en annulation en vertu de l’article 230 CE. Dans l’affaire Parlement/Conseil (C-317/04), le recours vise à l’annulation de la décision du Conseil, du 17 mai 2004, concernant la conclusion d’un accord entre la Communauté européenne et les États-Unis d’Amérique sur le traitement et le transfert de données PNR par des transporteurs aériens au bureau des douanes et de la protection des frontières du ministère américain de la sécurité intérieure ( ). Dans l’affaire Parlement/Commission (C-318/04), le Parlement demande l’annulation de la décision de la Commission, du 14 mai 2004, relative au niveau de protection adéquat des données à caractère personnel contenues dans les dossiers des passagers aériens transférés au Bureau des douanes et de la protection des frontières des États-Unis d’Amérique ( ).

2. Ces deux affaires invitent la Cour à se prononcer sur la problématique relative à la protection des données à caractère personnel des passagers aériens dès lors que, pour justifier leur transfert et leur traitement dans un pays tiers, en l’occurrence les États-Unis ( ), sont invoqués des impératifs tenant à la sécurité publique et relevant du domaine pénal, tels que la prévention et le combat contre le terrorisme et d’autres crimes graves.

3. Ces deux affaires trouvent leur origine dans une série d’évènements qu’il convient dès à présent d’exposer. Nous détaillerons ensuite le cadre juridique dans lequel elles s’inscrivent.

I – Les antécédents du litige

4. Au lendemain des attaques terroristes du 11 septembre 2001, les États-Unis ont adopté une législation disposant que les transporteurs aériens assurant des liaisons à destination, au départ ou à travers le territoire des États-Unis sont tenus de fournir aux autorités douanières américaines un accès électronique aux données contenues dans leurs systèmes automatiques de réservation et de contrôle des départs, dénommées «Passenger Name Records» (ci-après les «PNR») ( ). Tout en reconnaissant la légitimité des intérêts de sécurité en jeu, la Commission des Communautés européennes a informé les autorités des États-Unis, dès le mois de juin 2002, que ces dispositions pouvaient entrer en conflit avec la législation communautaire et celle des États membres en matière de protection des données à caractère personnel, ainsi qu’avec certaines dispositions du règlement sur l’utilisation de systèmes informatisés de réservation (SIR) ( ). Les autorités des États-Unis ont reporté l’entrée en vigueur des nouvelles dispositions, mais ont refusé de renoncer à imposer des sanctions aux compagnies aériennes qui ne se conformeraient pas auxdites dispositions après le 5 mars 2003. Depuis lors, plusieurs grandes compagnies aériennes établies dans des États membres ont fourni aux autorités américaines l’accès à leurs PNR.

5. La Commission a entamé avec les autorités américaines des négociations qui ont donné lieu à l’élaboration d’un document contenant des engagements de la part du CBP, en vue de l’adoption d’une décision de la Commission ayant pour objet de constater le caractère adéquat du niveau de protection des données à caractère personnel offert par les États-Unis, sur la base de l’article 25, paragraphe 6, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ( ).

6. Le 13 juin 2003, le groupe dit «article 29» sur la protection des données ( ) a rendu un avis dans lequel il a exprimé des doutes quant au niveau de protection garanti par ces engagements pour les traitements de données envisagés ( ). Il a réitéré ses doutes dans un autre avis du 29 janvier 2004 ( ).

7. Le 1er mars 2004, la Commission a saisi le Parlement du projet de décision d’adéquation, assorti du projet de la déclaration d’engagement du CBP.

8. Le 17 mars 2004, la Commission a transmis au Parlement, dans la perspective de la consultation de ce dernier au titre de l’article 300, paragraphe 3, premier alinéa, CE, une proposition de décision du Conseil de l’Union européenne concernant la conclusion d’un accord entre la Communauté et les États-Unis. Par lettre du 25 mars 2004, le Conseil a demandé, en se référant à la procédure d’urgence prévue à l’article 112 du règlement du Parlement (devenu depuis article 134), l’avis du Parlement sur cette proposition pour le 22 avril 2004 au plus tard. Dans sa lettre, le Conseil souligne que «[l]a lutte contre le terrorisme, qui justifie les mesures proposées, est une priorité essentielle de l’Union européenne. Actuellement, les transporteurs aériens et les passagers sont dans une situation d’incertitude à laquelle il convient de remédier d’urgence. En plus, il est essentiel de protéger les intérêts financiers des parties concernées».

9. Le 31 mars 2004, en application de l’article 8 de la décision du Conseil, du 28 juin 1999, fixant les modalités de l’exercice des compétences d’exécution conférées à la Commission ( ), le Parlement a adopté une résolution qui exprime un certain nombre de réserves d’ordre juridique sur cette approche. En particulier, le Parlement a considéré que le projet de décision d’adéquation excédait les compétences conférées à la Commission par l’article 25 de la directive 95/46. Il a appelé à la conclusion d’un accord international approprié respectant les droits fondamentaux, et a demandé à la Commission de lui soumettre un nouveau projet de décision. Il s’est, en outre, réservé le droit de saisir la Cour pour lui demander de vérifier la légalité de l’accord international envisagé et, en particulier, la compatibilité de celui-ci avec la protection du droit au respect de la vie privée.

10. Le 21 avril 2004, le Parlement a entériné, à la demande de son président, une recommandation de la commission juridique et du marché intérieur tendant à demander à la Cour un avis sur la compatibilité de l’accord envisagé avec le traité, conformément à l’article 300, paragraphe 6, CE, procédure qui a été entamée le jour même. Le Parlement a également décidé, à la même date, le renvoi en commission du rapport sur la proposition de décision du Conseil, rejetant ainsi implicitement, à ce stade, la demande d’urgence du Conseil en date du 25 mars 2004.

11. Le 28 avril 2004, le Conseil, en se fondant sur l’article 300, paragraphe 3, premier alinéa, CE, a adressé une lettre au Parlement lui demandant de rendre son avis sur la conclusion de l’accord avant le 5 mai 2004. Pour justifier l’urgence, le Conseil a repris les motifs indiqués dans sa lettre du 25 mars 2004 ( ).

12. Le 30 avril 2004, le greffier de la Cour a informé le Parlement que celle-ci avait fixé au 4 juin 2004 le délai pour le dépôt des observations des États membres, du Conseil et de la Commission dans la demande d’avis 1/04.

13. Le 4 mai 2004, le Parlement a rejeté la demande d’urgence que le Conseil lui avait soumise le 28 avril ( ). Le surlendemain, le président du Parlement s’est adressé au Conseil et à la Commission pour leur demander de ne pas poursuivre dans leurs intentions tant que la Cour n’aurait pas rendu l’avis sollicité le 21 avril 2004.

14. Le 14 mai 2004, la Commission a adopté la décision relative au niveau de protection adéquat des données à caractère personnel contenues dans les dossiers des passagers aériens transférés au CBP, conformément à l’article 25, paragraphe 6, de la directive 95/46.

15. Le 17 mai 2004, le Conseil a adopté la décision concernant la conclusion d’un accord entre la Communauté et les États-Unis sur le traitement et le transfert de données PNR par des transporteurs aériens au CBP.

16. Par lettre du 9 juillet 2004, le Parlement a informé la Cour du retrait de sa demande d’avis 1/04 ( ). Il a ensuite décidé de donner une suite contentieuse aux différends l’opposant au Conseil et à la Commission.

II – Le cadre juridique des deux affaires

A – Le traité UE

17. Aux termes de l’article 6 UE:

«1. L’Union est fondée sur les principes de la liberté, de la démocratie, du respect des droits de l’homme et des libertés fondamentales, ainsi que de l’État de droit, principes qui sont communs aux États membres.

2. L’Union respecte les droits fondamentaux, tels qu’ils sont garantis par la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950, et tels qu’ils résultent des traditions constitutionnelles communes aux États membres, en tant que principes généraux du droit communautaire.

[…]»

B – Le traité instituant la Communauté européenne

18. L’article 95, paragraphe 1, CE dispose:

«Par dérogation à l’article 94 et sauf si le présent traité en dispose autrement, les dispositions suivantes s’appliquent pour la réalisation des objectifs énoncés à l’article 14. Le Conseil, statuant conformément à la procédure visée à l’article 251 et après consultation du Comité économique et social, arrête les mesures relatives au rapprochement des dispositions législatives, réglementaires et administratives des États membres qui ont pour objet l’établissement et le fonctionnement du marché intérieur»

19. S’agissant de la procédure de conclusion d’accords internationaux par la Communauté, l’article 300, paragraphe 2, premier alinéa, CE, prévoit à sa première phrase que «[s]ous réserve des compétences reconnues à la Commission dans ce domaine, la signature […] ainsi que la conclusion des accords sont décidées par le Conseil, statuant à la majorité qualifiée sur proposition de la Commission».

20. L’article 300, paragraphe 3, CE est ainsi rédigé:

«Le Conseil conclut les accords après consultation du Parlement européen, sauf pour les accords visés à l’article 133, paragraphe 3, y compris lorsque l’accord porte sur un domaine pour lequel la procédure visée à l’article 251 ou celle visée à l’article 252 est requise pour l’adoption de règles internes. Le Parlement européen émet son avis dans un délai que le Conseil peut fixer en fonction de l’urgence. En l’absence d’avis dans ce délai, le Conseil peut statuer.

Par dérogation aux dispositions de l’alinéa précédent, sont conclus après avis conforme du Parlement européen les accords visés à l’article 310, ainsi que les autres accords qui créent un cadre institutionnel spécifique en organisant des procédures de coopération, les accords ayant des implications budgétaires notables pour la Communauté et les accords impliquant une modification d’un acte adopté selon la procédure visée à l’article 251.

Le Conseil et le Parlement européen peuvent, en cas d’urgence, convenir d’un délai pour l’avis conforme.»

C – Le droit européen de la protection des données à caractère personnel

21. L’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (ci-après la «CEDH») dispose:

«1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.

2. Il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui.»

22. Le droit européen de la protection des données s’est d’abord dessiné dans le cadre du Conseil de l’Europe. La convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel a ainsi été ouverte à la signature des États membres du Conseil de l’Europe, à Strasbourg, le 28 janvier 1981 ( ). Son but est de garantir, sur le territoire de chaque Partie contractante, à toute personne physique, quelles que soient sa nationalité ou sa résidence, le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l’égard du traitement automatisé des données à caractère personnel la concernant.

23. Pour ce qui concerne l’Union européenne, outre son article 7 qui est relatif au respect de la vie privée et familiale, l’article 8 de la charte des droits fondamentaux de l’Union européenne ( ) est spécifiquement consacré à la protection des données à caractère personnel. Il est ainsi rédigé:

«1. Toute personne a droit à la protection des données à caractère personnel la concernant.

2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification.

3. Le respect de ces règles est soumis au contrôle d’une autorité indépendante.»

24. S’agissant du droit communautaire primaire, l’article 286 CE prévoit, à son paragraphe 1, que, «[à] partir du 1er janvier 1999, les actes communautaires relatifs à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données sont applicables aux institutions et organes institués par le présent traité ou sur la base de celui-ci» ( ).

25. En droit communautaire dérivé, la norme de base en la matière est la directive 95/46 ( ). Sa filiation avec les textes issus du Conseil de l’Europe ressort explicitement des dixième et onzième considérants de ladite directive. Son dixième considérant énonce, en effet, que «l’objet des législations nationales relatives au traitement des données à caractère personnel est d’assurer le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l’article 8 de la [CEDH] et dans les principes généraux du droit communautaire; […] pour cette raison, le rapprochement de ces législations ne doit pas conduire à affaiblir la protection qu’elles assurent mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans la Communauté». De plus, le onzième considérant de la directive 95/46 indique que «les principes de la protection des droits et des libertés des personnes, notamment du droit à la vie privée, contenus dans la présente directive précisent et amplifient ceux qui sont contenus dans la convention [n° 108]».

26. Adoptée sur la base de l’article 100 A du traité CE (devenu, après modification, article 95 CE), la directive 95/46 trouve son origine dans l’idée exprimée à son troisième considérant, aux termes duquel «l’établissement et le fonctionnement du marché intérieur […] nécessitent non seulement que des données à caractère personnel puissent circuler librement d’un État membre à l’autre, mais également que les droits fondamentaux des personnes soient sauvegardés». Plus précisément, le législateur communautaire est parti du constat selon lequel «les différences entre États membres quant au niveau de protection des droits et libertés des personnes, notamment du droit à la vie privée, à l’égard des traitements de données à caractère personnel peuvent empêcher la transmission de ces données du territoire d’un État membre à celui d’un autre État membre» ( ), ce qui peut notamment avoir pour effet de faire obstacle à l’exercice d’activités à l’échelle communautaire et de fausser la concurrence. Aussi, le législateur communautaire a-t-il considéré que «pour éliminer les obstacles à la circulation des données à caractère personnel, le niveau de protection des droits et libertés des personnes à l’égard du traitement de ces données doit être équivalent dans tous les États membres» ( ). Cette approche doit avoir pour résultat que, «du fait de la protection équivalente résultant du rapprochement des législations nationales, les États membres ne pourront plus faire obstacle à la libre circulation entre eux de données à caractère personnel pour des raisons relatives à la protection des droits et libertés des personnes, notamment du droit à la vie privée» ( ).

27. L’article 1er de la directive 95/46, intitulé «Objet de la directive», met en œuvre cette approche en ces termes:

«1. Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.

2. Les États membres ne peuvent restreindre ni interdire la libre circulation des données à caractère personnel entre États membres pour des raisons relatives à la protection assurée en vertu du paragraphe 1.»

28. L’article 2 de ladite directive définit, notamment, les notions de «données à caractère personnel», de «traitement de données à caractère personnel» et de «responsable du traitement».

29. Ainsi, aux termes de l’article 2, sous a), de la directive 95/46, constituent des données à caractère personnel «toute information concernant une personne physique identifiée ou identifiable […]; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale».

30. Un traitement de telles données recouvre, selon l’article 2, sous b), de ladite directive, «toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction».

31. L’article 2, sous d), de la directive 95/46 définit le responsable du traitement comme étant «la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel […]».

32. Quant au champ d’application matériel de la directive 95/46, l’article 3, paragraphe 1, prévoit que celle-ci «s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier».

33. L’article 3, paragraphe 2, de ladite directive permet de connaître une des limites du champ d’application matériel de celle-ci dans la mesure où il dispose que:

«La présente directive ne s’applique pas au traitement de données à caractère personnel:

– mis en œuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit communautaire, telles que celles prévues aux titres V et VI du traité sur l’Union européenne, et, en tout état de cause, aux traitements ayant pour objet la sécurité publique, la défense, la sûreté de l’État (y compris le bien-être économique de l’État lorsque ces traitements sont liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal,

[…]»

34. Le chapitre II de la directive 95/46 est consacré aux «[c]onditions générales de licéité des traitements de données à caractère personnel». À l’intérieur de ce chapitre, la section I porte sur les «[p]rincipes relatifs à la qualité des données». L’article 6 de cette directive énumère ces principes dits de loyauté, de licéité, de finalité, de proportionnalité et d’exactitude des traitements de données à caractère personnel. Il est ainsi rédigé:

«1. Les États membres prévoient que les données à caractère personnel doivent être:

a) traitées loyalement et licitement;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités […];

c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement;

d) exactes et, si nécessaire, mises à jour […];

e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement […].

2. Il incombe au responsable du traitement d’assurer le respect du paragraphe 1.»

35. La section II du chapitre II de ladite directive est, quant à elle, consacrée aux «[p]rincipes relatifs à la légitimation des traitements de données». L’article 7 formant cette section se lit comme suit:

«Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si:

a) la personne concernée a indubitablement donné son consentement

ou

b) il est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci

ou

c) il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis

[…]»

36. S’agissant des données à caractère personnel communément qualifiées de «sensibles», l’article 8, paragraphe 1, énonce le principe de l’interdiction de leur traitement. Il prévoit, en effet, que «[l]es États membres interdisent le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données relatives à la santé et à la vie sexuelle.» Ce principe d’interdiction connaît toutefois plusieurs exceptions dont le contenu et le régime sont détaillés dans les paragraphes suivants du même article.

37. Aux termes de l’article 13, paragraphe 1, de la directive 95/46, intitulé «Exceptions et limitations»:

«Les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus à l’article 6 paragraphe 1, à l’article 10, à l’article 11 paragraphe 1 et aux articles 12 et 21, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder:

a) la sûreté de l’État;

b) la défense;

c) la sécurité publique;

d) la prévention, la recherche, la détection et la poursuite d’infractions pénales ou de manquements à la déontologie dans le cas des professions réglementées;

e) un intérêt économique ou financier important d’un État membre ou de l’Union européenne, y compris dans les domaines monétaire, budgétaire et fiscal;

f) une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité publique, dans les cas visés aux points c), d) et e);

g) la protection de la personne concernée ou des droits et libertés d’autrui.»

38. Le législateur communautaire a également souhaité que le régime protecteur ainsi établi ne soit pas mis à mal dès lors que les données à caractère personnel sortent du territoire communautaire. Il est en effet apparu que la dimension internationale des flux d’informations ( ) rendrait insuffisante, sinon inutile, l’existence d’une réglementation dont l’effectivité couvrirait ce seul territoire. Le législateur communautaire a donc opté pour un système requérant, pour admettre un transfert de données à caractère personnel vers un pays tiers, que ledit pays assure à ces données un «niveau de protection adéquat».

39. Le législateur communautaire pose ainsi la règle selon laquelle «lorsqu’un pays tiers n’offre pas un niveau de protection adéquat, le transfert de données à caractère personnel vers ce pays doit être interdit» ( ).

40. Dans cette perspective, l’article 25 de la directive 95/46 pose les principes auxquels sont soumis les transferts de données à caractère personnel vers des pays tiers:

«1. Les États membres prévoient que le transfert vers un pays tiers de données à caractère personnel faisant l’objet d’un traitement, ou destinées à faire l’objet d’un traitement après leur transfert, ne peut avoir lieu que si, sous réserve du respect des dispositions nationales prises en application des autres dispositions de la présente directive, le pays tiers en question assure un niveau de protection adéquat.

2. Le caractère adéquat du niveau de protection offert par un pays tiers s’apprécie au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données; en particulier, sont prises en considération la nature des données, la finalité et la durée du ou des traitements envisagés, les pays d’origine et de destination finale, les règles de droit, générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées.

3. Les États membres et la Commission s’informent mutuellement des cas dans lesquels ils estiment qu’un pays tiers n’assure pas un niveau de protection adéquat au sens du paragraphe 2.

4. Lorsque la Commission constate, conformément à la procédure prévue à l’article 31 paragraphe 2, qu’un pays tiers n’assure pas un niveau de protection adéquat au sens du paragraphe 2 du présent article, les États membres prennent les mesures nécessaires en vue d’empêcher tout transfert de même nature vers le pays tiers en cause.

5. La Commission engage, au moment opportun, des négociations en vue de remédier à la situation résultant de la constatation faite en application du paragraphe 4.

6. La Commission peut constater, conformément à la procédure prévue à l’article 31 paragraphe 2, qu’un pays tiers assure un niveau de protection adéquat au sens du paragraphe 2 du présent article, en raison de sa législation interne ou de ses engagements internationaux, souscrits notamment à l’issue des négociations visées au paragraphe 5, en vue de la protection de la vie privée et des libertés et droits fondamentaux des personnes.

Les États membres prennent les mesures nécessaires pour se conformer à la décision de la Commission.»

41. Enfin, il convient d’indiquer que, dans le cadre du titre VI du traité UE, qui est relatif à la coopération policière et judiciaire en matière pénale, la protection des données à caractère personnel est régie par différents instruments spécifiques. Il s’agit notamment d’instruments qui instaurent des systèmes d’information communs au niveau européen, tels que la convention d’application de l’Accord de Schengen ( ) qui contient des dispositions spécifiques sur la protection des données dans le cadre du système d’information Schengen (SIS) ( ); la convention sur la base de l’article K.3 du traité sur l’Union européenne portant création d’un office européen de police ( ); la décision du Conseil créant Eurojust ( ) et les dispositions du règlement intérieur d’Eurojust relatives au traitement et à la protection des données à caractère personnel ( ); la convention établie sur la base de l’article K.3 du traité sur l’Union européenne, sur l’emploi de l’informatique dans le domaine des douanes, qui contient des dispositions relatives à la protection des données à caractère personnel applicables au système d’information des douanes ( ), et la convention relative à l’entraide judiciaire en matière pénale entre les États membres de l’Union européenne ( ).

42. Le 4 octobre 2005, la Commission a présenté une proposition de décision-cadre du Conseil, relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale ( ).

III – Les décisions attaquées

43. Nous examinerons les deux décisions attaquées dans l’ordre chronologique de leur adoption.

A – La décision d’adéquation

44. La décision d’adéquation a été adoptée par la Commission sur la base de l’article 25, paragraphe 6, de la directive 95/46, qui, rappelons-le, lui confère le pouvoir de constater qu’un pays tiers assure un niveau de protection adéquat des données à caractère personnel ( ). Ainsi que le mentionne le deuxième considérant de cette décision, «[s]ur la base de ce constat, des données à caractère personnel peuvent être transférées à partir des États membres sans qu’aucune garantie supplémentaire ne soit nécessaire».

45. Au onzième considérant de ladite décision, la Commission indique que «[l]e traitement par le CBP des données à caractère personnel contenues dans les PNR des passagers aériens qui lui sont transférés est régi par les dispositions figurant dans la ‘Déclaration d’engagement du Bureau des douanes et de la protection des frontières du ministère de la Sécurité intérieure du 11 mai 2004’ et par la législation américaine dans les conditions prévues par la déclaration d’engagement». Aussi, la Commission constate-t-elle au quatorzième considérant de la même décision que «[l]es normes en vertu desquelles le CBP traite les données PNR des passagers sur la base de la législation américaine et de la déclaration d’engagement respectent les principes essentiels nécessaires pour assurer un niveau de protection adéquat des personnes physiques».

46. En conséquence, l’article 1er de la décision d’adéquation dispose:

«Aux fins de l’article 25, paragraphe 2, de la directive 95/46/CE, [le CBP] est considéré comme assurant un niveau de protection adéquat des données de dossiers passagers […] transférées depuis la Communauté en ce qui concerne les vols à destination ou au départ des États-Unis, conformément à la déclaration d’engagement figurant en annexe».

47. En outre, l’article 3 de la décision d’adéquation prévoit que le transfert de données vers le CBP peut être suspendu à l’initiative des autorités compétentes des États membres dans les conditions suivantes:

«1. Sans préjudice des pouvoirs leur permettant de prendre des mesures pour assurer le respect des dispositions nationales adoptées conformément aux dispositions autres que l’article 25 de la directive 95/46/CE, les autorités compétentes des États membres peuvent exercer les pouvoirs dont elles disposent actuellement pour suspendre le transfert de données vers le CBP afin de protéger les personnes physiques à l’égard du traitement des données à caractère personnel qui les concernent dans l’un des deux cas suivants:

a) lorsqu’une autorité américaine compétente a constaté que le CBP ne respecte pas les normes applicables en matière de protection;

b) lorsqu’il est probable que les normes de protection établies en annexe ne sont pas respectées, qu’il y a tout lieu de croire que le CBP ne prend pas ou ne prendra pas, en temps voulu, les mesures qui s’imposent pour régler l’affaire en question, que la poursuite du transfert entraînerait un risque imminent de grave préjudice pour les personnes concernées et que les autorités compétentes de l’État membre se sont raisonnablement efforcées, dans ces circonstances, d’avertir le CBP et de lui donner la possibilité de répondre.

2. La suspension du transfert cesse dès que les normes de protection sont assurées et que les autorités compétentes dans les États membres concernés en sont averties.»

48. Les États membres sont tenus d’informer la Commission des mesures prises conformément à l’article 3 de la décision d’adéquation. Par ailleurs, les États membres et la Commission doivent, en vertu de l’article 4, paragraphe 2, de cette décision, s’informer mutuellement de tout changement dans les normes de protection et des cas dans lesquels ces normes apparaîtraient insuffisamment respectées. Suite à ces échanges, l’article 4, paragraphe 3, de la décision d’adéquation prévoit que «[s]i les informations recueillies conformément à l’article 3 et aux paragraphes 1 et 2 du présent article montrent que les principes essentiels nécessaires pour assurer un niveau de protection adéquat des personnes physiques ne sont plus respectés, ou qu’un quelconque organisme chargé de veiller au respect par le CBP des normes de protection établies en annexe ne remplit pas efficacement sa mission, le CBP sera informé et, si nécessaire, la procédure prévue à l’article 31, paragraphe 2, de la directive 95/46/CE sera applicable en vue d’annuler ou de suspendre la présente décision».

49. Par ailleurs, l’article 5 de la décision d’adéquation pose la règle selon laquelle la mise en œuvre de cette dernière fera l’objet d’une évaluation et prévoit que «toute constatation pertinente sera rapportée au comité institué par l’article 31 de la directive 95/46/CE».

50. En outre, l’article 7 de la décision d’adéquation indique que celle-ci «vient à échéance trois ans et six mois à compter de sa notification, à moins qu’elle ne soit prolongée conformément à la procédure prévue à l’article 31, paragraphe 2, de la directive 95/46/CE».

51. En annexe de ladite décision est jointe la déclaration d’engagement du CBP, laquelle précise dans son introduction qu’elle a pour objet de «soutenir le projet» de la Commission tendant à reconnaître l’existence d’un niveau de protection adéquat des données transférées au CBP. Selon ses termes, cette déclaration, qui comporte au total 48 paragraphes, «ne crée ni ne confère aucun droit ni aucun avantage pour toute personne ou partie, qu’elle soit privée ou publique» ( ).

52. Nous indiquerons, en substance, au fil de nos développements, le contenu des engagements pertinents pour la solution du litige.

53. Enfin, la décision d’adéquation contient une annexe «A» qui procède à l’énumération des 34 rubriques des données PNR demandées par le CBP aux compagnies aériennes ( ).

54. Cette décision de la Commission est complétée par la décision du Conseil de conclure un accord international entre la Communauté européenne et les États-Unis.

B – La décision du Conseil

55. La décision du Conseil a été adoptée sur le fondement de l’article 95, en liaison avec l’article 300, paragraphe 2, premier alinéa, première phrase, CE.

56. Son premier considérant indique que «[l]e Conseil a autorisé la Commission, le 23 février 2004, à négocier, au nom de la Communauté, un accord avec les États-Unis d’Amérique sur le traitement et le transfert de données PNR par des transporteurs aériens au [CBP]» ( ). Le deuxième considérant de cette décision mentionne, quant à lui, que «[l]e Parlement européen n’a pas émis son avis dans le délai fixé, en vertu de l’article 300, paragraphe 3, premier alinéa, du traité, par le Conseil en vue de la nécessité urgente de remédier à la situation d’incertitude dans laquelle se trouvent les compagnies aériennes et les passagers et de protéger les intérêts financiers des parties concernées».

57. En vertu de l’article 1er de la décision du Conseil, l’accord est approuvé au nom de la Communauté. En outre, l’article 2 de ladite décision autorise le président du Conseil à désigner les personnes habilitées à signer l’accord au nom de la Communauté.

58. Le texte de l’accord est annexé à la décision du Conseil. L’article 7 dudit accord prévoit qu’il entre en vigueur dès sa signature. Conformément à cet article, l’accord, signé à Washington le 28 mai 2004, est entré en vigueur ce même jour ( ).

59. Dans le préambule de l’accord, la Communauté et les États-Unis reconnaissent «qu’il importe de respecter les droits et libertés fondamentaux, et notamment le droit au respect de la vie privée, et de respecter ces valeurs, tout en prévenant et en combattant le terrorisme et les délits qui y sont liés, ainsi que d’autres délits graves de nature transnationale, notamment la criminalité organisée».

60. Les textes suivants sont visés dans le préambule de l’accord: la directive 95/46, et notamment son article 7, sous c), les engagements pris par le CBP ainsi que la décision d’adéquation ( ).

61. Les Parties contractantes notent également que «les transporteurs aériens disposant de systèmes de contrôle des réservations et des départs et établis sur le territoire des États membres de la Communauté européenne doivent faire le nécessaire pour que les données PNR soient transmises au CBP dès que cela sera techniquement possible, mais que, d’ici-là, les autorités américaines devront pouvoir accéder directement aux données, en vertu des dispositions du présent accord» ( ).

62. C’est ainsi que le paragraphe 1 de l’accord prévoit que «[l]e CBP peut accéder, par voie électronique, aux données PNR provenant des systèmes de contrôle des réservations et des départs des transporteurs aériens […] situés sur le territoire des États membres de la Communauté européenne, en application stricte de la décision [( )] et aussi longtemps que cette dernière sera applicable, c’est-à-dire jusqu’à ce qu’un système satisfaisant soit mis en place pour permettre la transmission de ces données par les transporteurs aériens».

63. En complément du pouvoir ainsi accordé au CBP d’accéder directement aux données PNR, le paragraphe 2 de l’accord impose aux transporteurs aériens assurant un service de transport international de passagers à destination ou au départ des États-Unis de traiter les données PNR stockées dans leurs systèmes informatiques de réservation «comme demandé par le CBP en vertu de la législation américaine, en application stricte de la décision [( )] et aussi longtemps que cette dernière est applicable».

64. Par ailleurs, au paragraphe 3 de l’accord, il est précisé que le CBP «prend note» de la décision d’adéquation et «déclare qu’il met en œuvre les engagements annexés à ladite décision». De plus, le paragraphe 4 dudit accord prévoit que «[l]e CBP traite les données PNR reçues et les personnes concernées par ce traitement conformément aux lois et exigences constitutionnelles américaines, sans discrimination, en particulier sur la base de la nationalité et du pays de résidence».

65. En outre, le CBP et la Communauté s’engagent à examiner conjointement et régulièrement la mise en œuvre de l’accord ( ). Ce dernier prévoit également que «[e]n cas de mise en œuvre, dans l’Union européenne, d’un système d’identification des passagers aériens, dans le cadre duquel elle impose aux transporteurs aériens de donner aux autorités l’accès aux données PNR des passagers dont le voyage en cours inclut un vol à destination ou au départ de l’Union européenne, [le] DHS [Department of Homeland Security] encourage activement, autant que possible et dans le strict respect du principe de réciprocité, les compagnies aériennes relevant de sa compétence à coopérer» ( ).

66. De plus, outre qu’il prévoit que l’accord entre en vigueur dès sa signature, le paragraphe 7 de celui-ci précise que chaque partie peut le dénoncer à tout moment. Dans ce cas, l’accord cesse d’être applicable 90 jours après la date de la notification de la dénonciation à l’autre partie. Par ailleurs, il est prévu, dans le même paragraphe, que l’accord peut être modifié à tout moment d’un commun accord écrit.

67. Enfin, le paragraphe 8 de l’accord dispose que «[l]e présent accord n’a pas pour objet de déroger à la législation des parties ni de la modifier; il ne crée ni ne confère aucun droit ou avantage sur toute autre personne ou entité, privée ou publique».

IV – Les moyens soulevés par le Parlement dans les deux affaires

68. Dans l’affaire C-317/04, le Parlement soulève six moyens à l’encontre de la décision du Conseil:

– le choix erroné de l’article 95 CE comme base juridique;

– la violation de l’article 300, paragraphe 3, deuxième alinéa, CE, en raison d’une modification de la directive 95/46;

– la violation du droit à la protection des données à caractère personnel;

– la violation du principe de proportionnalité;

– l’insuffisante motivation de la décision litigieuse;

– la violation du principe de coopération loyale prévu à l’article 10 CE.

69. Le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord ainsi que la Commission ont été admis à intervenir à l’appui des conclusions du Conseil ( ). Par ailleurs, le contrôleur européen de la protection des données (ci-après le «CEPD») a été admis à intervenir au soutien des conclusions du Parlement ( ).

70. Dans l’affaire C-318/04, le Parlement soulève quatre moyens à l’encontre de la décision d’adéquation:

– l’excès de pouvoir;

– la violation des principes essentiels de la directive 95/46;

– la violation des droits fondamentaux;

– la violation du principe de proportionnalité.

71. Le Royaume-Uni a été admis à intervenir à l’appui des conclusions de la Commission ( ). En outre, le CEPD a été admis à intervenir au soutien des conclusions du Parlement ( ).

72. Nous analyserons les deux recours dans l’ordre selon lequel les décisions attaquées ont été adoptées. Nous examinerons donc, en premier lieu, le recours visant à l’annulation de la décision d’adéquation (affaire C-318/04) puis, en second lieu, celui visant à l’annulation de la décision du Conseil (affaire C-317/04).

V – Sur le recours visant à l’annulation de la décision d’adéquation (affaire C-318/04)

A – Sur le moyen tiré de ce que la Commission aurait commis un excès de pouvoir en adoptant la décision d’adéquation

1. Arguments des parties

73. À l’appui de ce moyen, le Parlement soutient, en premier lieu, que la décision d’adéquation, en tant qu’elle vise la réalisation d’un but qui relève de la sécurité publique et du droit pénal, viole la directive 95/46 puisqu’elle concerne un domaine exclu du champ d’application ratione materiae de ladite directive. Cette exclusion serait prévue de manière expresse à l’article 3, paragraphe 2, premier tiret, de la directive 95/46 et ne se prêterait à aucune interprétation pouvant en réduire la portée. Le fait que les données à caractère personnel aient été collectées lors de l’exercice d’une activité économique, à savoir la vente d’un ticket d’avion donnant droit à une prestation de services, ne pourrait pas justifier l’application de ladite directive, et notamment de son article 25, dans un domaine exclu de son champ d’application.

74. En deuxième lieu, le Parlement fait valoir que le CBP n’est pas un pays tiers au sens de l’article 25 de la directive 95/46. Or, cet article, à son paragraphe 6, prescrirait qu’une décision de la Commission constatant un niveau adéquat de protection des données à caractère personnel ait trait à un «pays tiers», c’est-à-dire un État ou une entité assimilée, et non une unité ou composante administrative faisant partie du pouvoir exécutif d’un État.

75. En troisième lieu, le Parlement considère que l’adoption par la Commission de la décision d’adéquation constitue un excès de pouvoir dans la mesure où la déclaration d’engagement qui y est annexée permet expressément la transmission par le CBP de données PNR à d’autres autorités gouvernementales américaines ou étrangères.

76. En quatrième lieu, le Parlement estime que la décision d’adéquation implique certaines limitations et exceptions aux principes figurant dans la directive 95/46 alors que l’article 13 de celle-ci réserve ce pouvoir uniquement aux États membres. Ainsi, en adoptant la décision d’adéquation, la Commission se serait substituée aux États membres et aurait méconnu, de ce fait, l’article 13 de ladite directive. Par un acte d’exécution de la directive 95/46, la Commission se serait arrogé des compétences strictement réservées aux États membres.

77. En cinquième lieu, le Parlement développe l’argument selon lequel la mise à disposition des données effectuée par le biais du système «pull» (extraction) ne constituerait pas un «transfert» au sens de l’article 25 de la directive 95/46, et ne pourrait donc pas être admise.

78. En dernier lieu, compte tenu de l’interdépendance entre la décision d’adéquation et l’accord, ladite décision devrait, selon cette institution, être considérée comme une mesure non appropriée en vue d’imposer les transferts de données PNR.

79. À la différence du Parlement, le CEPD estime que le fait de donner accès aux données à une personne ou à une institution d’un pays tiers peut être considéré comme étant constitutif d’un transfert et que, dès lors, l’article 25 de la directive 95/46 est applicable. Il considère, en effet, que limiter la notion à un transfert réalisé par l’envoyeur permettrait d’éluder les conditions posées par cet article et porterait ainsi préjudice à la protection des données prévue audit article.

80. La Commission, soutenue par le Royaume-Uni, est d’avis que les activités des transporteurs aériens entrent dans le champ d’application du droit communautaire et que, en conséquence, la directive 95/46 reste entièrement applicable. Le régime mis en place dans le cadre du transfert de données PNR n’aurait pas pour objet les activités d’un État membre ou d’autorités publiques tombant hors du champ d’application du droit communautaire.

81. En outre, la Commission relève que l’accord a été signé au nom des États-Unis et non pas au nom d’un service gouvernemental. En ce qui concerne les transferts ultérieurs des données PNR par le CBP, la Commission estime que la protection des données à caractère personnel n’est pas incompatible avec l’autorisation de tels transferts à condition que ceux-ci soient soumis aux restrictions appropriées et nécessaires.

82. Enfin, la Commission observe que l’article 13 de la directive 95/46 n’est pas pertinent dans la présente affaire et que le «transfert», au sens de l’article 25 de cette directive, consiste, pour les transporteurs aériens, à mettre activement les données PNR à la disposition du CBP. Le système examiné comporterait donc bien un transfert de données au sens de la directive 95/46.

2. Appréciation

83. Par ce premier moyen, le Parlement soutient que la décision d’adéquation constitue une violation de la directive 95/46, et particulièrement des articles 3, paragraphe 2, 13 et 25 de celle-ci. Il fait notamment valoir que cette décision ne pouvait pas être valablement fondée sur l’acte de base que constitue ladite directive.

84. Comme nous l’avons déjà exposé, la directive 95/46 a pour but, en vue de l’établissement et du fonctionnement du marché intérieur, d’éliminer les obstacles à la libre circulation des données à caractère personnel en rendant équivalent dans les États membres le niveau de protection des droits et libertés des personnes à l’égard du traitement de telles données.

85. Le législateur communautaire a également souhaité que le régime protecteur ainsi instauré ne soit pas mis en péril dès lors que les données à caractère personnel sortent du territoire communautaire. Il a donc opté pour un système requérant, pour admettre qu’un transfert de données à caractère personnel vers un pays tiers puisse être réalisé, que ledit pays assure à ces données un niveau de protection adéquat. Ainsi, la directive 95/46 contient le principe selon lequel lorsqu’un pays tiers n’offre pas un niveau de protection adéquat, le transfert de données à caractère personnel vers ce pays doit être interdit.

86. L’article 25 de ladite directive impose une série d’obligations aux États membres et à la Commission visant à contrôler les transferts de données à caractère personnel vers des pays tiers compte tenu du niveau de protection accordé à de telles données dans chacun de ces pays. Il prévoit également la méthode et les critères permettant de considérer qu’un pays tiers assure un niveau de protection adéquat des données à caractère personnel qui lui sont transférées.

87. La Cour a qualifié le régime relatif au transfert de données à caractère personnel vers des pays tiers de «régime spécial, comportant des règles spécifiques, qui vise à assurer un contrôle par les États membres des transferts de données à caractère personnel vers les pays tiers». Elle a également précisé qu’il s’agit d’«un régime complémentaire au régime général mis en place par le chapitre II de ladite directive concernant la licéité de traitements de données à caractère personnel» ( ).

88. La spécificité des règles qui encadrent le transfert de données à caractère personnel vers les pays tiers s’explique en grande partie par le rôle clé que joue la notion de protection adéquate. Afin de cerner la portée de cette notion, il convient de clairement la distinguer de la notion de protection équivalente qui, elle, exigerait que le pays tiers reconnaisse et applique effectivement l’ensemble des principes contenus dans la directive 95/46.

89. La notion de protection adéquate signifie que le pays tiers doit être en mesure de garantir une protection adaptée, selon un modèle qui est jugé acceptable en termes de degré de protection des données à caractère personnel. Un tel système fondé sur le caractère adéquat de la protection assurée par un pays tiers laisse une marge d’appréciation importante aux États membres et à la Commission dans leur évaluation des garanties mises en place dans le pays de destination des données. Cette appréciation est guidée par l’article 25, paragraphe 2, de la directive 95/46, qui énumère certains des facteurs pouvant entrer en considération aux fins de cette évaluation ( ). Dans cette perspective, la règle posée par le législateur communautaire est que «[l]e caractère adéquat du niveau de protection offert par un pays tiers s’apprécie au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données».

90. Ainsi que la Cour l’a déjà constaté, la directive 95/46 ne définit pas la notion de «transfert vers un pays tiers» ( ). Elle ne précise notamment pas si la notion recouvre seulement l’action par laquelle un responsable de traitement communique activement des données à caractère personnel vers un pays tiers ou bien si elle s’étend au cas dans lequel une entité d’un pays tiers est autorisée à avoir accès à des données situées dans un État membre. Cette directive est donc muette sur le point de savoir selon quelle méthode un transfert de données vers un pays tiers peut être effectué.

91. Contrairement au Parlement, nous estimons que, dans la présente affaire, l’accès aux données PNR dont bénéficie le CBP relève de la notion de «transfert vers un pays tiers». En effet, ce qui est déterminant pour caractériser un tel transfert est, selon nous, la circulation des données depuis un État membre à destination d’un pays tiers, en l’occurrence les États-Unis ( ). Peu importe à cet égard que le transfert soit effectué par l’envoyeur ou par le récepteur. En effet, ainsi que le précise le CEPD, si la portée de l’article 25 de la directive 95/46 était limitée aux transferts réalisés par l’envoyeur, il serait aisé d’éluder les conditions posées par cet article.

92. Ceci étant précisé, il convient toutefois d’insister sur le fait que le chapitre IV de ladite directive, dans lequel figure ledit article 25, n’est pas destiné à régir tous les transferts de données à caractère personnel, de quelque nature qu’ils soient, vers des pays tiers. Il ne couvre, aux termes de l’article 25, paragraphe 1, de la directive, que le transfert de données à caractère personnel «faisant l’objet d’un traitement, ou destinées à faire l’objet d’un traitement après leur transfert».

93. Nous rappelons à cet égard que, aux termes de l’article 2, sous b), de la directive 95/46, est constitutif d’un traitement de données à caractère personnel «toute opération ou ensemble d’opérations […] appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, […] la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition […]» ( ).

94. Quelle que soit sa spécificité, laquelle repose largement, comme nous l’avons vu, sur la notion d’adéquation, le régime relatif au transfert de données à caractère personnel vers des pays tiers est soumis au respect des règles relatives au champ d’application de la directive 95/46 dont il fait partie ( ).

95. Aussi, pour être couvert par les dispositions de l’article 25 de la directive 95/46, un transfert vers un pays tiers doit-il concerner des données à caractère personnel dont le traitement, qu’il soit actuellement mis en œuvre au sein de la Communauté ou seulement envisagé dans le pays tiers, entre dans le champ d’application de ladite directive. C’est seulement à cette condition qu’une décision d’adéquation peut valablement constituer un acte d’exécution de la directive 95/46.

96. À cet égard, nous rappelons que, d’un point de vue ratione materiae, ladite directive ne s’applique pas à tous les traitements de données à caractère personnel susceptibles d’entrer dans l’une des catégories d’opérations visées à son article 2, sous b). En effet, l’article 3, paragraphe 2, premier tiret, de la directive 95/46 dispose que celle-ci ne s’applique pas aux traitements de données à caractère personnel qui sont «mis en œuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit communautaire, telles que celles prévues aux titres V et VI du traité sur l’Union européenne, et, en tout état de cause, aux traitements ayant pour objet la sécurité publique, la défense, la sûreté de l’État (y compris le bien-être économique de l’État lorsque ces traitements sont liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal» ( ).

97. Or, nous considérons que la consultation, l’utilisation par le CBP et la mise à la disposition de ce dernier des données des passagers aériens provenant des systèmes de réservation des transporteurs aériens situés sur le territoire des États membres constituent des traitements de données à caractère personnel qui ont pour objet la sécurité publique et qui concernent des activités étatiques relatives à des domaines du droit pénal. Ces traitements sont, par conséquent, exclus du champ d’application matériel de la directive 95/46.

98. Les termes utilisés dans la décision d’adéquation démontrent l’objet des traitements auxquels sont soumises les données à caractère personnel des passagers aériens. Ainsi, après avoir indiqué que les exigences de transfert vers le CBP des données à caractère personnel contenues dans les PNR des passagers aériens se fondent sur une loi promulguée par les États-Unis en novembre 2001 et sur des règlements de mise en œuvre adoptés par le CBP en vertu de cette loi ( ), la Commission précise qu’un des objets de la législation américaine est «le renforcement de la sécurité» ( ). Il est également indiqué que «[l]a Communauté soutient entièrement les États-Unis dans leur lutte contre le terrorisme, dans les limites imposées par le droit de la Communauté» ( ).

99. De plus, le quinzième considérant de la décision d’adéquation dispose que «les données des PNR doivent être utilisées dans le but unique de prévenir et de combattre le terrorisme et les crimes liés au terrorisme, d’autres crimes graves, y compris la criminalité organisée, qui, par nature, revêtent un caractère transnational et la fuite en cas de mandat d’arrêt ou de mise en détention pour l’un des crimes susmentionnés».

100. La directive 95/46, et notamment son article 25, paragraphe 6, ne saurait, selon nous, constituer un fondement approprié pour l’adoption par la Commission d’un acte d’exécution tel qu’une décision relative au niveau de protection adéquat de données à caractère personnel faisant l’objet de traitements qui sont expressément exclus de son champ d’application. Autoriser, sur la base de ladite directive, les transferts de telles données reviendrait en effet à étendre, de façon détournée, le champ d’application de celle-ci.

101. Or, il convient d’avoir à l’esprit que la directive 95/46, adoptée sur le fondement de l’article 100 A du traité CE, définit des principes de protection qui doivent s’appliquer aux traitements de données à caractère personnel dès lors que les activités du responsable de traitement relèvent du champ d’application du droit communautaire, mais que, en raison même du choix de sa base juridique, elle n’est pas apte à régir des activités étatiques, telles que celles qui concernent la sécurité publique ou qui poursuivent des fins répressives, qui ne relèvent pas du champ d’application du droit communautaire ( ).

102. Il est vrai que le traitement que constituent la collecte et l’enregistrement de données des passagers aériens par les compagnies aériennes a, en général, une finalité commerciale dans la mesure où il est directement lié au déroulement du vol assuré par le transporteur aérien. Aussi, est-il juste de considérer que les données PNR sont initialement collectées par les compagnies aériennes dans le cadre d’une activité qui relève du droit communautaire, à savoir la vente d’un billet d’avion qui donne droit à une prestation de services. Toutefois, le traitement des données qui est pris en compte dans la décision d’adéquation possède une nature tout autre, dans la mesure où il couvre un stade ultérieur à la collecte initiale des données. Il porte en effet, comme nous l’avons vu, sur la consultation, l’utilisation par le CBP et la mise à la disposition de ce dernier des données des passagers aériens provenant des systèmes de réservation des transporteurs aériens situés sur le territoire des États membres.

103. En réalité, la décision d’adéquation ne vise pas un traitement de données nécessaire à la réalisation d’une prestation de services, mais considéré comme nécessaire pour sauvegarder la sécurité publique et à des fins répressives. Telle est bien la finalité du transfert et du traitement dont font l’objet les données PNR. Par conséquent, le fait que les données à caractère personnel aient été collectées lors de l’exercice d’une activité économique ne peut pas, selon nous, justifier l’application de la directive 95/46, et notamment l’article 25 de celle-ci, dans un domaine exclu de son champ d’application.

104. Ces éléments suffisent, selon nous, à considérer que, comme le pense le Parlement, la Commission ne disposait pas, en vertu de l’article 25 de la directive 95/46, du pouvoir d’adopter une décision relative au niveau de protection adéquat de données à caractère personnel transférées dans le cadre et en vue d’un traitement exclu expressément du champ d’application de ladite directive ( ).

105. Cette décision d’adéquation est donc constitutive d’une violation de l’acte de base que constitue la directive 95/46, et notamment de son article 25 qui n’en est pas le fondement approprié. Nous estimons qu’elle doit, pour cette raison, être annulée.

106. En outre, dans la mesure où nous considérons que la décision d’adéquation tombe hors du champ d’application de la directive 95/46, il ne nous paraît pas pertinent d’analyser, ainsi que l’invite le Parlement dans son deuxième moyen, cette décision au regard des principes essentiels contenus dans ladite directive ( ). Nous estimons donc qu’il n’y a pas lieu d’examiner ce deuxième moyen.

107. Quant aux troisième et quatrième moyens du présent recours, que nous n’envisagerons qu’à titre subsidiaire, ils ne peuvent pas, à notre avis, faire l’objet d’une analyse séparée, car la vérification d’une violation éventuelle des droits fondamentaux par la décision d’adéquation comprend nécessairement une évaluation du respect du principe de proportionnalité par cet acte au regard de l’objectif qu’il poursuit. Nous proposons donc à la Cour d’examiner ensemble ces troisième et quatrième moyens.

B – Sur les moyens tirés d’une violation des droits fondamentaux et d’une violation du principe de proportionnalité

108. Le Parlement soutient que la décision d’adéquation ne respecte pas le droit à la protection des données à caractère personnel tel qu’il est garanti à l’article 8 de la CEDH. Plus précisément, au regard des conditions posées par cet article, il estime que ladite décision constitue une ingérence dans la vie privée qui ne peut être considérée comme prévue par la loi, car il s’agit d’une mesure qui n’est pas accessible et prévisible. En outre, le Parlement estime que cette mesure n’est pas proportionnée au but qu’elle poursuit, eu égard notamment au nombre excessif de rubriques des PNR demandées et à la durée de conservation excessivement longue des données.

109. Dans le recours qu’il a introduit dans l’affaire C-317/04, qui vise à l’annulation de la décision du Conseil, le Parlement invoque également ces deux moyens et développe à leur appui des arguments qui se recoupent en grande partie. Nous estimons que ces moyens soulevés dans les deux affaires soumises à la Cour doivent faire l’objet d’un examen unique qu’il nous paraît pertinent d’effectuer dans le cadre de nos développements consacrés à l’affaire C-317/04.

110. Il ressort en effet de l’argumentation développée par les parties dans leurs mémoires qu’il est impossible d’appréhender séparément, au regard du droit au respect de la vie privée, les composantes du régime relatif au traitement des données PNR par le CBP ( ) que constituent l’accord tel qu’approuvé par la décision du Conseil, la décision d’adéquation et les engagements du CBP qui sont annexés à ladite décision de la Commission. Les parties renvoient d’ailleurs à maintes reprises à l’un ou à l’autre de ces actes afin d’asseoir leur démonstration.

111. L’interdépendance entre ces trois composantes du régime PNR ressort expressément des termes mêmes de l’accord. En effet, tant les engagements du CBP que la décision d’adéquation sont visés dans le préambule de l’accord. Ensuite, le paragraphe 1 de cet accord précise que le CBP peut accéder aux données PNR «en application stricte de la décision [d’adéquation] et aussi longtemps que cette dernière sera applicable […]». De même, si, selon le paragraphe 2 dudit accord, les transporteurs aériens qui y sont désignés doivent traiter les données PNR «comme demandé par le CBP en vertu de la législation américaine», c’est encore «en application stricte de la décision [d’adéquation] et aussi longtemps que cette dernière est applicable». Enfin, le paragraphe 3 de l’accord dispose que «[l]e CBP prend note de la décision [d’adéquation] et déclare qu’il met en œuvre les engagements annexés à ladite décision».

112. Il résulte de ces éléments que le droit d’accès aux données PNR conféré par l’accord au CBP ainsi que l’obligation de traitement desdites données qui incombe aux transporteurs aériens désignés dans ledit accord sont soumis à l’application stricte et effective de la décision d’adéquation.

113. L’interdépendance entre les trois composantes du régime PNR, ainsi que le fait que les moyens tirés de la violation des droits fondamentaux et du principe de proportionnalité soient soulevés par le Parlement dans les deux affaires soumises au jugement de la Cour, nous conduisent à comprendre ces moyens comme visant à faire constater par cette dernière l’incompatibilité du régime PNR, dans ses trois composantes, avec le droit au respect de la vie privée garanti à l’article 8 de la CEDH. À notre avis, il serait en effet artificiel d’examiner la décision d’adéquation sans tenir compte de l’accord, qui fait peser certaines obligations sur les compagnies aériennes et, en sens inverse, d’examiner cet accord sans prendre en considération les autres textes applicables auxquels cet instrument fait expressément référence.

114. Compte tenu du fait que le système est composé de plusieurs éléments indissociables, l’analyse ne doit donc pas être artificiellement scindée.

115. L’ingérence dans la vie privée est, sous cet angle, constituée par l’ensemble que forment l’accord tel qu’approuvé par la décision du Conseil, la décision d’adéquation et les engagements du CBP. Afin d’examiner si cette ingérence est prévue par la loi, poursuit un but légitime et est nécessaire dans une société démocratique, il est également nécessaire de prendre en compte l’ensemble du mécanisme «à trois vitesses» ainsi mis sur pied, comme le fait le Parlement dans ses deux requêtes. Pour avoir une vue globale du régime PNR, nous procéderons à cet examen dans le cadre du recours visant à l’annulation de la décision du Conseil.

VI – Sur le recours visant à l’annulation de la décision du Conseil (affaire C-317/04)

A – Sur le moyen tiré du choix erroné de l’article 95 CE comme base juridique de la décision du Conseil

1. Arguments des parties

116. Le Parlement européen fait valoir que l’article 95 CE ne constitue pas la base juridique appropriée de la décision du Conseil. Celle-ci n’aurait pas, en effet, pour but et contenu l’établissement et le fonctionnement du marché intérieur. La décision du Conseil aurait plutôt pour objectif de légaliser le traitement de données à caractère personnel imposé par la législation américaine aux compagnies aériennes établies sur le territoire de la Communauté. Cette décision ne préciserait pas dans quelle mesure cette légalisation des transferts des données vers un pays tiers contribuerait à l’établissement ou au fonctionnement du marché intérieur.

117. Selon le Parlement, le contenu de la décision du Conseil ne justifierait pas non plus le recours à l’article 95 CE comme base juridique. Cette décision consisterait à établir le droit d’accès du CBP au système des réservations des compagnies aériennes sur le territoire de la Communauté, et ce en vue de la réalisation des vols entre les États-Unis et les États membres, conformément à la législation américaine, afin de prévenir et de lutter contre le terrorisme. Or, la réalisation de ces buts ne tomberait pas sous le coup de l’article 95 CE.

118. Enfin, le Parlement ajoute que l’article 95 CE ne serait pas susceptible de fonder la compétence de la Communauté pour conclure l’accord concerné dans la mesure où celui-ci vise des traitements de données effectués à des fins de sécurité publique et donc exclus du champ d’application de la directive 95/46, basée sur ledit article du traité.

119. En revanche, le Conseil estime que sa décision a été correctement fondée sur l’article 95 CE. Selon lui, cet article peut fonder des mesures visant à assurer que les conditions de concurrence ne sont pas faussées dans le marché intérieur. Il soutient à cet égard que l’accord vise à supprimer toute distorsion de concurrence entre les compagnies aériennes des États membres et entre celles-ci et les compagnies des pays tiers, pouvant se produire, en raison des exigences américaines, pour des raisons relatives à la protection des droits et libertés des personnes. Les conditions de concurrence entre les compagnies des États membres assurant un service de transport international de passagers à destination ou au départ des États-Unis auraient pu être faussées si seulement certaines d’entre elles accordaient aux autorités américaines un accès à leurs bases de données.

120. Dans le même ordre d’idées, le Conseil souligne, d’une part, que les compagnies aériennes ne se conformant pas aux exigences américaines auraient pu se voir imposer le paiement d’amendes par les autorités américaines, subir des retards de leurs vols et perdre des passagers au profit d’autres compagnies aériennes ayant conclu des arrangements avec les États-Unis. D’autre part, certains États membres auraient pu sanctionner des compagnies aériennes transférant les données personnelles en cause, alors que d’autres États membres n’auraient pas nécessairement agi de la même manière.

121. Dans ces conditions, et en l’absence d’une réglementation commune concernant l’accès par les autorités américaines aux données PNR, le Conseil estime que les conditions de concurrence risquaient d’être faussées et qu’une atteinte grave aurait été portée à l’unicité du marché intérieur. Il était donc, selon lui, nécessaire d’établir des conditions harmonisées régissant l’accès par les autorités américaines auxdites données, tout en sauvegardant les exigences communautaires en ce qui concerne le respect des droits fondamentaux. Il s’agirait de l’imposition à toutes les compagnies concernées d’obligations harmonisées et de l’aspect externe de l’établissement et du fonctionnement du marché intérieur.

122. Enfin, le Conseil remarque que l’accord a été conclu après la décision d’adéquation, adoptée en vertu de l’article 25, paragraphe 6, de la directive 95/46. Selon lui, il était donc normal et correct de fonder la décision de conclusion de l’accord sur la même base juridique que celle de ladite directive, à savoir l’article 95 CE.

123. Dans son mémoire en intervention, la Commission souligne que les dispositions du préambule de l’accord démontrent que, pour les États-Unis, l’objectif primordial est la lutte contre le terrorisme, tandis que pour la Communauté le but principal est le maintien des éléments principaux de sa législation sur la protection des données à caractère personnel.

124. Elle remarque que, tout en critiquant le choix de l’article 95 CE comme base juridique de la décision du Conseil, le Parlement ne présente pas d’alternative crédible. Selon la Commission, cet article serait la base juridique «naturelle» de la décision du Conseil dans la mesure où la dimension externe de la protection des données à caractère personnel devrait être fondée sur l’article du traité qui soutient la mesure interne que constitue la directive 95/46, et ce d’autant plus que cet aspect externe serait explicitement prévu aux articles 25 et 26 de ladite directive. De plus, compte tenu du lien étroit et de l’interdépendance entre l’accord, la décision d’adéquation et les engagements du CBP, l’article 95 CE s’avérerait être la base juridique appropriée. En tout état de cause, la Commission soutient que le Conseil avait le pouvoir de conclure l’accord sur la base de cet article car la directive 95/46 aurait été affectée, au sens de la jurisprudence AETR ( ), si les États membres avaient, séparément ou conjointement, conclu un tel accord en dehors du cadre communautaire.

125. Enfin, la Commission fait valoir que le traitement initial des données en cause par les compagnies aériennes est effectué dans un but commercial. Aussi, l’utilisation qu’en font les autorités américaines ne les ferait-elle pas échapper à l’incidence de la directive 95/46.

2. Appréciation

126. Par son premier moyen, le Parlement invite la Cour à juger si l’article 95 CE constitue la base juridique appropriée pour fonder la décision du Conseil concernant la conclusion par la Communauté d’un accord international tel que celui en cause dans la présente affaire. Afin de répondre à cette question, il convient de faire application de la jurisprudence constante de la Cour en vertu de laquelle le choix de la base juridique d’un acte communautaire doit se fonder sur des éléments objectifs susceptibles de contrôle juridictionnel, parmi lesquels figurent, notamment, le but et le contenu de l’acte ( ). En effet, «dans le cadre du système des compétences de la Communauté, le choix de la base juridique d’un acte ne peut pas dépendre seulement de la conviction d’une institution quant au but poursuivi […]» ( ).

127. Nous rappelons que la Cour a jugé que «le choix de la base juridique appropriée revêt une importance de nature constitutionnelle. En effet, la Communauté ne disposant que de compétences d’attribution, elle doit rattacher [l’accord international concerné] à une disposition du traité qui l’habilite à l’effet d’approuver un tel acte». Selon la Cour, «[l]e recours à une base juridique erronée est donc susceptible d’invalider l’acte de conclusion lui-même et, partant, de vicier le consentement de la Communauté à être liée par l’accord auquel cette dernière a souscrit» ( ).

128. Conformément à la méthode d’analyse appliquée par la Cour, nous examinerons donc si le but et le contenu de l’accord autorisaient le Conseil à adopter, sur le fondement de l’article 95 CE, une décision ayant pour objet, aux termes de son article 1er, d’approuver au nom de la Communauté ledit accord.

129. S’agissant du but de l’accord, il ressort expressément du paragraphe 1 de son préambule qu’il poursuit deux objectifs, à savoir, d’une part, la prévention et le combat du terrorisme et des délits qui y sont liés, ainsi que d’autres délits graves de nature transnationale, notamment la criminalité organisée ( ), et, d’autre part, le respect des droits et libertés fondamentaux, et notamment le droit au respect de la vie privée.

130. La poursuite de l’objectif de lutte contre le terrorisme et d’autres crimes graves est attestée par la référence, au paragraphe 2 du préambule de l’accord, aux lois et règlements américains, adoptés à la suite des attentats terroristes du 11 septembre 2001, qui exigent de tout transporteur aérien assurant un service de transport international de passagers à destination ou au départ des États-Unis qu’il fournisse au CBP un accès électronique aux données PNR qui sont recueillies et stockées dans son système informatique de contrôle des réservations et des départs.

131. Quant à l’objectif tendant au respect des droits fondamentaux, et notamment le droit au respect de la vie privée, il apparaît à travers la référence à la directive 95/46. Il s’agit ainsi de garantir aux personnes physiques transportées la protection de leurs données à caractère personnel.

132. Cette garantie est recherchée tant dans le cadre des engagements pris par la CBP le 11 mai 2004, dont le paragraphe 4 du préambule de l’accord indique qu’ils seront publiés dans le Federal Register, que dans celui de la décision d’adéquation dont il est fait mention au paragraphe 5 du même préambule.

133. Ces deux objectifs doivent, selon le paragraphe 1 du préambule de l’accord, être poursuivis de façon simultanée. L’accord, conclu entre la Communauté et les États-Unis, tente donc de concilier ces deux objectifs, c’est-à-dire qu’il repose sur l’idée selon laquelle la lutte contre le terrorisme et d’autres crimes graves doit être menée dans le respect des droits fondamentaux, notamment du droit au respect de la vie privée, et plus précisément du droit à la protection des données à caractère personnel.

134. Le contenu de l’accord confirme cette analyse. En effet, son paragraphe 1 prévoit que le CBP peut accéder, par voie électronique, aux données PNR provenant des systèmes de contrôle des réservations des transporteurs aériens situés sur le territoire des États membres «en application stricte» de la décision d’adéquation «et aussi longtemps que cette dernière sera applicable». Nous en déduisons que le moyen de lutter contre le terrorisme et d’autres crimes graves que constitue l’accès aux données PNR des passagers aériens n’est autorisé par l’accord que tant qu’il est reconnu que ces données bénéficient aux États-Unis d’un niveau de protection adéquat. Le contenu de cette disposition de l’accord traduit ainsi la poursuite simultanée des objectifs de lutte contre le terrorisme et d’autres crimes graves et de protection des données à caractère personnel.

135. Le même constat s’impose lors de l’examen du paragraphe 2 de l’accord qui oblige les transporteurs aériens assurant un service de transport international de passagers à destination ou au départ des États-Unis à traiter les données PNR stockées dans leurs systèmes informatiques de réservation «comme demandé par le CBP en vertu de la législation américaine, en application stricte de la décision [d’adéquation] et aussi longtemps que cette dernière est applicable». Là aussi, l’obligation qui pèse désormais sur les transporteurs aériens dans un but de lutte contre le terrorisme et d’autres crimes graves est étroitement liée à une protection adéquate des données à caractère personnel des passagers aériens.

136. D’autres dispositions de l’accord ont pour objet de traduire les buts de lutte contre le terrorisme et d’autres crimes graves et de protection des données personnelles des passagers aériens.

137. Ainsi, concernant spécifiquement l’objectif de protection des données à caractère personnel de ces passagers, il est indiqué au paragraphe 3 de l’accord que «[l]e CBP prend note de la décision [d’adéquation] et déclare qu’il met en œuvre les engagements annexés à ladite décision».

138. En outre, le paragraphe 6 de l’accord envisage l’hypothèse où l’Union européenne mettrait à son tour en œuvre un système d’identification des passagers aériens, dans le cadre duquel elle imposerait aux transporteurs aériens de donner aux autorités compétentes l’accès aux données PNR des passagers dont le voyage inclurait un vol à destination ou au départ de l’Union européenne. Dans le cas où elle mettrait en application cette mesure, l’accord prévoit que le Department of Homeland Security «encourage activement, autant que possible et dans le strict respect du principe de réciprocité, les compagnies aériennes relevant de sa compétence à coopérer». Il s’agit là d’une disposition qui traduit encore une fois l’objectif de lutte contre le terrorisme et d’autres crimes graves.

139. Nous précisons à cet égard, en réponse à certains arguments exposés par la Commission, qu’il nous paraît ainsi difficile de soutenir que l’objectif de lutte contre le terrorisme et d’autres crimes graves serait unilatéralement et seulement poursuivi par les États-Unis, la Communauté ayant uniquement pour but de protéger les données à caractère personnel des passagers aériens ( ). En vérité, nous sommes d’avis que l’accord a, du point de vue de chaque Partie contractante et dans le même temps, pour but et contenu de concilier l’objectif de lutte contre le terrorisme et d’autres crimes graves avec celui de protection des données à caractère personnel des passagers aériens. Ce faisant, l’accord institue une coopération entre les Parties contractantes précisément destinée à atteindre ce double objectif de façon simultanée.

140. Au regard du but et du contenu de l’accord ainsi décrits, nous considérons que l’article 95 CE ne constitue pas une base juridique appropriée pour la décision du Conseil.

141. Il convient, à cet égard, de rappeler que l’article 95, paragraphe 1, CE, vise l’adoption par le Conseil de mesures relatives au rapprochement des dispositions législatives, réglementaires et administratives des États membres qui ont pour objet l’établissement et le fonctionnement du marché intérieur.

142. La compétence attribuée à la Communauté par cet article du traité a un caractère horizontal, c’est-à-dire qu’elle n’est pas limitée à un domaine particulier. L’étendue de la compétence communautaire est donc définie «sur la base d’un critère fonctionnel, s’étendant de manière horizontale à l’ensemble des mesures destinées à la réalisation du ‘marché intérieur’» ( ).

143. De plus, il résulte de la jurisprudence de la Cour que les mesures visées à l’article 95, paragraphe 1, CE sont destinées à améliorer les conditions de l’établissement et du fonctionnement du marché intérieur et doivent effectivement avoir cet objet, en contribuant à l’élimination d’entraves à la libre circulation des marchandises ou à la libre prestation des services ou encore à la suppression de distorsions de concurrence ( ). Il découle également de cette jurisprudence que, si le recours à l’article 95 CE comme base juridique est possible en vue de prévenir l’apparition d’obstacles futurs aux échanges résultant de l’évolution hétérogène des législations nationales, l’apparition de tels obstacles doit être vraisemblable et la mesure en cause doit avoir pour objet leur prévention ( ).

144. Ainsi que nous l’avons déjà exposé, le Conseil soutient que sa décision a valablement été adoptée sur le fondement de l’article 95 CE dans la mesure où, en supprimant toute distorsion de concurrence entre les compagnies aériennes des États membres et entre celles-ci et les compagnies des pays tiers, l’accord avec les États-Unis aurait contribué à éviter qu’une atteinte grave soit portée à l’unicité du marché intérieur.

145. Certes, il convient de noter que le deuxième considérant de la décision du Conseil fait état de «la nécessité urgente de remédier à la situation d’incertitude dans laquelle se trouvent les compagnies aériennes et les passagers et de protéger les intérêts financiers des parties concernées». Cette phrase pourrait être comprise comme faisant allusion aux sanctions pouvant être infligées par les autorités américaines compétentes aux compagnies aériennes qui refuseraient de fournir un accès aux données PNR de leurs passagers, sanctions qui pourraient avoir des conséquences financières sur lesdites compagnies. Il serait possible de concevoir que, dans un tel cas de figure, ces sanctions ayant des implications financières défavorables pour certaines compagnies puissent être à l’origine de distorsions de concurrence entre l’ensemble des compagnies aériennes établies sur le territoire des États membres.

146. Par ailleurs, nous pouvons également concevoir qu’une attitude différente de la part des États membres, certains interdisant sous peine de sanctions aux compagnies aériennes établies sur leur territoire d’autoriser le transfert des données PNR de leurs passagers, alors que d’autres n’agiraient pas de la sorte, soit susceptible d’avoir un effet, même indirect, sur le fonctionnement du marché intérieur, du fait des éventuelles distorsions de concurrence qui pourraient naître entre les compagnies aériennes.

147. Toutefois, force est de constater qu’un tel objectif tendant à éviter des distorsions de concurrence, pour autant qu’il soit effectivement poursuivi par le Conseil, présente un caractère accessoire par rapport aux deux objectifs principaux de lutte contre le terrorisme et d’autres crimes graves et de protection des données à caractère personnel des passagers qui, comme nous l’avons vu, sont expressément mentionnés et effectivement mis en œuvre dans les dispositions de l’accord.

148. L’objectif tendant à éviter les distorsions de concurrence, que ce soit, ainsi que l’affirme le Conseil, entre les compagnies aériennes des États membres ou entre celles-ci et les compagnies des pays tiers, ne figure, quant à lui, explicitement nulle part dans les dispositions de l’accord. Il présente un caractère implicite, et donc nécessairement accessoire par rapport aux deux autres.

149. Or, nous rappelons que, ainsi que la Cour l’a déjà jugé, «le seul fait qu’un acte puisse avoir des incidences sur l’établissement et le fonctionnement du marché intérieur ne suffit pas pour justifier le recours à cette disposition comme base juridique de cet acte» ( ).

150. Et surtout, il ressort d’une jurisprudence constante de la Cour que lorsque l’examen d’un acte communautaire démontre qu’il poursuit plusieurs finalités ou qu’il a plusieurs composantes, et si l’une de celles-ci est identifiable comme principale ou prépondérante, tandis que l’autre n’est qu’accessoire, l’acte en question doit être fondé sur une seule base juridique, à savoir celle exigée par la finalité ou composante principale ou prépondérante ( ). Ce n’est qu’à titre exceptionnel, s’il est établi que l’acte poursuit à la fois plusieurs objectifs qui sont liés d’une façon indissociable, sans que l’un soit second et indirect par rapport à l’autre, qu’un tel acte devra être fondé sur les différentes bases juridiques correspondantes ( ). Tel n’est pas, selon nous, le cas en l’espèce.

151. Nous remarquerons encore que, même si les trois objectifs devaient être considérés comme poursuivis d’une façon indissociable par l’accord, il n’en resterait pas moins que le choix du Conseil de fonder juridiquement sa décision sur le seul article 95 CE devrait, en vertu de cette jurisprudence, être considéré comme inapproprié.

152. En vérité, il ressort de la lecture du deuxième considérant de la décision du Conseil dans son entier que la «nécessité urgente» dont il est fait état par ce dernier a pour objet principal d’expliquer qu’un délai a été fixé au Parlement pour rendre son avis, conformément à l’article 300, paragraphe 3, premier alinéa, CE, qui prévoit que, dans le cadre de la procédure de conclusion des accords, «[l]e Parlement européen émet son avis dans un délai que le Conseil peut fixer en fonction de l’urgence». Cet article dispose également que, «[e]n l’absence d’avis dans ce délai, le Conseil peut statuer». Tel a été le cas dans la procédure qui a été suivie en vue de l’adoption de la décision du Conseil.

153. Autrement dit, si «la nécessité urgente de remédier à la situation d’incertitude dans laquelle se trouvent les compagnies aériennes et les passagers et de protéger les intérêts financiers des parties concernées» a pu effectivement entrer en ligne de compte dans le processus visant à établir un régime des données PNR, il nous semble que cette prise en compte a davantage joué un rôle dans le cadre de la procédure suivie que dans la définition du but et du contenu de l’accord.

154. Quant à l’argument du Conseil et de la Commission selon lequel un acte relatif à la dimension externe de la protection des données à caractère personnel devrait être fondé sur une base juridique identique à celle de la mesure interne que constitue la directive 95/46, il convient de relever que la Cour a déjà jugé que le fait qu’une disposition particulière du traité ait été choisie comme base juridique pour l’adoption d’actes internes ne suffit pas à démontrer que cette même base doit également être retenue pour l’approbation d’un accord international ayant un objet similaire ( ). De plus, nous avons démontré que l’accord n’a ni pour but principal ni pour contenu d’améliorer les conditions de fonctionnement du marché intérieur, alors que la directive 95/46, adoptée en vertu de l’article 95 CE, «vise à assurer la libre circulation entre États membres des données à caractère personnel par l’harmonisation des règles nationales protégeant les personnes physiques à l’égard du traitement de telles données» ( ).

155. Compte tenu des éléments qui précèdent, nous estimons que l’examen du but et du contenu de l’accord démontre que l’article 95 CE ne constitue pas la base juridique appropriée de la décision du Conseil.

156. Nous proposons par conséquent à la Cour de juger que le premier moyen soulevé par le Parlement est fondé. Il s’ensuit que la décision du Conseil doit être annulée en raison du choix erroné de sa base juridique.

157. Il serait certes intéressant à ce stade de s’interroger sur la question tendant à savoir quelle devrait être la base juridique appropriée d’une telle décision. Toutefois, il importe de noter que la Cour n’est pas saisie de cette question délicate dans le cadre de la présente affaire. Nous formulerons donc seulement quelques remarques sur ce problème et, de façon plus générale, sur la nature du régime PNR tel qu’il a été négocié avec les États-Unis.

158. D’abord, contrairement à une idée défendue par le Conseil, la circonstance que le régime PNR n’ait pas été mis en place dans le cadre des dispositions du traité UE n’est pas, selon nous, de nature à démontrer la validité juridique de l’approche retenue par le Conseil et la Commission.

159. Ensuite, de manière plus générale, nous estimons qu’un acte qui prévoit la consultation et l’utilisation de données à caractère personnel par une entité ayant pour fonction d’assurer la sécurité intérieure d’un État, ainsi que la mise à disposition de ces données à une telle entité, est assimilable à un acte de coopération entre autorités publiques ( ).

160. De plus, le fait d’imposer à une personne morale d’exécuter un tel traitement de données et de l’obliger à effectuer un transfert de ces données ne nous paraît pas fondamentalement éloigné d’un échange direct de données entre autorités publiques ( ). C’est la communication obligatoire de données à des fins sécuritaires et répressives qui importe, et non ses modalités spécifiques à telle ou telle situation. Notre affaire concerne en réalité une problématique nouvelle, qui est relative à l’utilisation de données commerciales à des fins répressives ( ).

161. Enfin, il convient de noter que le Tribunal a jugé que «la lutte contre le terrorisme international […] ne peut être rattachée à aucun des objets explicitement assignés à la Communauté par les articles 2 CE et 3 CE» ( ).

162. Compte tenu du fait que notre analyse du premier moyen nous conduit à proposer à la Cour d’annuler la décision du Conseil en raison du choix erroné de la base juridique de celle-ci, nous n’examinerons qu’à titre subsidiaire les autres moyens invoqués par le Parlement à l’appui du présent recours.

B – Sur le moyen tiré de la violation de l’article 300, paragraphe 3, deuxième alinéa, CE, en raison d’une modification de la directive 95/46

1. Arguments des parties

163. Par ce deuxième moyen, le Parlement soutient que l’accord entre la Communauté et les États-Unis ne pouvait être approuvé au nom de celle-ci qu’en respectant la procédure prévue à l’article 300, paragraphe 3, deuxième alinéa, CE. En effet, cet article prévoit que «sont conclus après avis conforme du Parlement européen […] les accords impliquant une modification d’un acte adopté selon la procédure visée à l’article 251». Or, selon cette institution, l’accord en question impliquerait une modification de la directive 95/46, qui a été adoptée selon la procédure visée à l’article 251 CE.

164. De l’avis du Parlement, les engagements que les autorités américaines ont acceptés d’appliquer conformément à l’accord resteraient en deçà des conditions de traitement des données imposées par la directive 95/46. Partant, l’accord aurait pour effet de déroger à certains principes essentiels de ladite directive et de rendre licites des traitements de données qui ne sont pas autorisés par celle-ci. En ce sens, l’accord modifierait la directive 95/46. En particulier, le Parlement identifie les modifications suivantes.

165. En premier lieu, l’accord viserait la prévention et la lutte contre le terrorisme et d’autres crimes graves, alors que l’article 3, paragraphe 2, premier tiret, de la directive 95/46 exclurait du champ d’application de celle-ci le transfert de données à destination d’autorités publiques d’un État tiers pour des raisons liées à la sécurité publique de cet État. Le Parlement note que les États membres ont prévu à cet effet des dispositions spécifiques dans la convention Europol et que l’on peut dès lors estimer qu’il y a une complémentarité dans ce domaine entre les deux instruments, qui sont fondés sur des bases juridiques différentes.

166. En deuxième lieu, la possibilité accordée aux autorités américaines compétentes d’accéder directement aux données à caractère personnel à l’intérieur du territoire de la Communauté (système «pull») constituerait également une modification de la directive 95/46. En effet, les articles 25 et 26 de celle-ci ne contiendraient aucune disposition autorisant qu’un pays tiers soit en droit d’accéder directement à ces données.

167. En troisième lieu, l’accord, en se référant aux engagements, autoriserait que le CBP, à sa discrétion et au cas par cas, transmette des données PNR à des autorités gouvernementales de répression ou de lutte contre le terrorisme étrangères aux États-Unis. Cette discrétion laissée aux autorités américaines violerait la directive 95/46, et notamment son article 25, paragraphe 1, aux termes duquel «le transfert vers un pays tiers de données à caractère personnel […] ne peut avoir lieu que si […] le pays tiers en question assure un niveau de protection adéquat». Le Parlement estime, en effet, que le système de protection mis au point dans ladite directive serait réduit à néant si le pays tiers faisant l’objet d’une décision d’adéquation positive était ensuite libre de transférer les données à caractère personnel vers d’autres pays qui, eux, n’ont fait l’objet d’aucune évaluation de la part de la Commission.

168. En quatrième lieu, l’accord contiendrait une modification de la directive 95/46 dans la mesure où le CBP, même s’il décidait de ne pas utiliser les données à caractère personnel «sensibles», serait juridiquement autorisé à procéder à leur collecte, ce qui constituerait déjà un traitement au sens de l’article 2, sous b), de cette directive.

169. En cinquième lieu, le Parlement considère que l’accord modifie ladite directive dans la mesure où le recours juridictionnel en cas de violation des droits qui sont garantis à toute personne par les dispositions nationales applicables au traitement en question, tel que prévu à l’article 22 de la directive 95/46, n’est pas suffisamment assuré. Notamment, une personne concernée par le transfert de ses données PNR ne disposerait d’aucun recours juridictionnel, par exemple en cas de données incorrectes la concernant ou d’utilisation de données sensibles ou encore de transmission des données à une autre autorité.

170. En sixième et dernier lieu, le Parlement souligne le caractère excessif de la durée de conservation des données PNR transférées au CBP, ce qui constituerait une modification de la directive 95/46, et plus particulièrement de son article 6, paragraphe 1, sous e), qui prévoit une durée de conservation des données «n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement».

171. Le CEPD soutient les conclusions du Parlement en ce sens que, selon lui, l’accord a une incidence sur la directive 95/46. Il est d’avis que l’accord ne pouvait être conclu que sous le contrôle démocratique du Parlement dans la mesure où il affecte le niveau d’harmonisation des législations nationales tel qu’il est prévu par cette directive, et même le respect des droits fondamentaux. Selon lui, l’atteinte au niveau de protection des données à caractère personnel prévu par ladite directive résulte notamment du fait que, tant dans le système «pull» que dans le système «push», les transporteurs aériens sont obligés d’agir en violation de la directive, en particulier de son article 6, paragraphe 1, sous b) et c). Dans la mesure où cette atteinte au niveau de protection des données implique une modification de la directive 95/46, le CEPD considère que les garanties de procédure prévues à l’article 300, paragraphe 3, deuxième alinéa, CE n’ont pas été respectées. Il estime, en outre, que les «garanties de substance» ne sont pas non plus respectées, en particulier parce que les engagements du CBP ont un caractère non contraignant.

172. En revanche, le Conseil, soutenu par la Commission, estime que l’accord n’implique pas une modification de la directive 95/46. À l’appui de cette opinion, il cite le paragraphe 8 dudit accord aux termes duquel celui-ci «n’a pas pour objet de déroger à la législation des parties ni de la modifier». Il soutient également que cette directive donne à la Commission un large pouvoir discrétionnaire pour apprécier le caractère adéquat de la protection assurée par un pays tiers. À cet égard, selon le Conseil, la question de savoir si la Commission a dépassé les limites de sa marge d’appréciation constituerait plutôt l’objet du recours en annulation de la décision d’adéquation dans l’affaire C-318/04.

173. Le Conseil rappelle également que, selon lui, les motivations (sécurité, lutte contre le terrorisme ou autre) qui ont amené le CBP à exiger la transmission des données PNR ne constituent, du point de vue de la Communauté, ni l’objet ni le contenu de l’accord. En outre, la directive 95/46 autoriserait que, dans le champ d’application du marché intérieur, les données à caractère personnel puissent être utilisées à des fins légitimes telles que la protection de la sécurité d’un État.

174. En tout état de cause, selon le Conseil, même à supposer que la Communauté n’avait pas de compétence pour conclure l’accord, il ne s’ensuivrait pas pour autant que le Parlement aurait dû donner son avis conforme, au prétendu motif que l’accord modifierait la directive 95/46. En effet, le Conseil précise que l’avis conforme du Parlement ne pourrait en aucun cas avoir pour effet d’élargir le champ des compétences de la Communauté.

175. Quant à la possibilité pour le CBP d’accéder directement aux données PNR (système «pull» actuellement applicable, dans l’attente de la mise en place d’un système «push»), si le Conseil reconnaît que la directive 95/46 ne mentionne pas explicitement une telle possibilité, elle ne l’interdirait pas non plus. Du point de vue de la Communauté, ce sont les conditions d’accès aux données qui importeraient.

176. La Commission ajoute à cette argumentation que, quel que soit le but pour lequel les données personnelles sont utilisées par le CBP, il n’en resterait pas moins que celles-ci sont et demeurent, pour les transporteurs aériens dans la Communauté, des données commerciales tombant sous le coup de la directive 95/46 et qui doivent, par conséquent, être protégées et traitées conformément à celle-ci.

2. Appréciation

177. En matière de conclusion d’accords internationaux par la Communauté, la consultation du Parlement apparaît comme la procédure de droit commun, en dehors du domaine de la politique commerciale commune. Cette consultation du Parlement intervient, en vertu de l’article 300, paragraphe 3, premier alinéa, CE, y compris lorsque l’accord porte sur un domaine pour lequel la procédure de codécision de l’article 251 CE est requise pour l’adoption de règles internes.

178. Par dérogation à cette procédure de droit commun, l’article 300, paragraphe 3, deuxième alinéa, CE, impose l’avis conforme du Parlement dans quatre cas, dont, pour ce qui nous intéresse dans la présente affaire, celui dans lequel l’accord implique «une modificati