Document ID: 32006D0253

DÉCISION DE LA COMMISSION
du 6 septembre 2005
constatant le niveau de protection adéquat des données à caractère personnel contenues dans les dossiers des passagers aériens (DP) transférés à l’Agence des services frontaliers du Canada
[notifiée sous le numéro C(2005) 3248]
(Texte présentant de l'intérêt pour l'EEE)
(2006/253/CE)
LA COMMISSION DES COMMUNAUTÉS EUROPÉENNES,
vu le traité instituant la Communauté européenne,
vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1), et notamment son article 25, paragraphe 6,
considérant ce qui suit:
(1)
La directive 95/46/CE demande aux États membres de prévoir que le transfert de données à caractère personnel vers un pays tiers ne peut être effectué que si le pays tiers en question assure un niveau de protection adéquat et si les lois nationales mettant en œuvre d’autres dispositions de la directive sont respectées avant le transfert.
(2)
La Commission peut constater qu’un pays tiers assure un niveau de protection adéquat. Sur la base de ce constat, des données à caractère personnel peuvent être transférées à partir des États membres sans qu’aucune garantie supplémentaire ne soit nécessaire.
(3)
La directive 95/46/CE demande que le niveau de protection des données soit apprécié au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transfert de données et en vertu de certaines conditions énumérées à l’article 25, paragraphe 2.
(4)
Dans le cadre des transports aériens, le «dossier passager» (DP) est un fichier contenant les renseignements relatifs au voyage de chaque passager. Il renferme toutes les informations nécessaires au traitement et au contrôle des réservations par les compagnies aériennes contractantes ou partenaires (2). Aux fins de la présente décision, les termes «passager» et «passagers» incluent les «membres de l’équipage». «Compagnie aérienne contractante» signifie la compagnie auprès de laquelle le passager a réalisé sa première réservation ou auprès de laquelle des réservations additionnelles ont été réalisées après le début du voyage. «Compagnie aérienne partenaire» signifie toute compagnie aérienne auprès de laquelle la compagnie aérienne contractante a sollicité une place, sur un ou plusieurs de ses vols, pour un passager.
(5)
L’agence des services frontaliers du Canada (ASFC) exige de toutes les compagnies aériennes assurant le transport de passagers à destination du Canada qu’elles lui fournissent un accès électronique aux dossiers DP recueillis et stockés dans leur système informatisé de réservation et de contrôle des départs.
(6)
L’obligation de transfert des données à caractère personnel contenues dans les DP des passagers aériens à l’ASFC se fonde sur la section 107.1 de la Loi sur les douanes, sur le paragraphe 148(d) de la Loi sur l’immigration et la protection des réfugiés et sur des règlements de mise en œuvre adoptés en vertu de ces lois (3).
(7)
La législation canadienne en question concerne le renforcement de la sécurité ainsi que les conditions d’entrée au Canada, points sur lesquels le Canada a un pouvoir de décision souverain dans le cadre de sa juridiction. Par ailleurs, les exigences ne sont pas contraires à ses autres engagements internationaux. Le Canada est un pays démocratique, gouverné par des principes de droit et doté d’une solide tradition en matière de libertés publiques. La légitimité de son processus législatif ainsi que la force et l’indépendance de son appareil judiciaire ne sont pas mises en question. La liberté de la presse constitue une autre garantie puissante contre toute violation des libertés publiques.
(8)
La Communauté soutient entièrement le Canada dans sa lutte contre le terrorisme dans les limites imposées par le droit communautaire. Ce dernier prévoit d’établir un juste équilibre nécessaire entre les préoccupations en matière de sécurité et celles concernant la protection des données. Par exemple, l’article 13 de la directive 95/46/CE permet aux États membres de prendre des mesures législatives dont l’objectif est de limiter la portée d’autres exigences visées dans la directive lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder la sûreté de l’État, la défense, la sécurité publique ainsi que la prévention, la recherche, la détection et la poursuite d’infractions pénales.
(9)
Les transferts de données concernent des contrôleurs spécifiques, à savoir les compagnies aériennes assurant des liaisons entre la Communauté et le Canada et un seul destinataire au Canada, à savoir l’ASFC.
(10)
Tout arrangement visant à établir un cadre réglementaire pour les transferts de DP au Canada, notamment par le biais de la présente décision, doit être limité dans le temps. Une période de trois ans et demi a été convenue. Au cours de ce laps de temps, le contexte peut considérablement changer et la Communauté et le Canada conviennent qu’une révision des arrangements sera nécessaire.
(11)
Le traitement par l’ASFC des données à caractère personnel contenues dans les DP des passagers aériens qui lui sont transférés est régis par les dispositions figurant dans les Engagements de l’Agence des services frontaliers du Canada concernant l’application de son programme DP (ci-après dénommés «Engagements») et par la législation canadienne dans les conditions prévues par les Engagements.
(12)
S’agissant de la législation nationale canadienne, la Loi sur la protection des renseignements personnels, la Loi sur l’accès à l’information et la section 107 de la Loi sur les douanes sont déterminantes dans le contexte actuel dans la mesure où elles règlent les conditions dans lesquelles l’ASFC peut s’opposer à des demandes de divulgation et traiter ainsi les DP de manière confidentielle. La Loi sur la protection des renseignements personnels réglemente la divulgation des DP aux personnes concernées, qui est étroitement liée au droit d’accès dont celles-ci disposent. La Loi sur la protection des renseignements personnels ne s’applique qu’aux personnes présentes au Canada. Toutefois, l’ASFC autorise l’accès aux renseignements DP détenues sur un ressortissant étranger si cette personne n’est pas présente au Canada.
(13)
En ce qui concerne, et conformément à ce que prévoit la section 43, les dispositions des Engagements ont soit été incluses dans le droit canadien en vigueur soit sont inscrites dans les règlements nationaux conçus spécifiquement dans ce but et auront donc un effet juridique. Les Engagements seront publiés intégralement dans la Gazette du Canada. Ils représentent donc un engagement sérieux et réfléchi de la part de l’ASFC et leur respect est contrôlé conjointement par le Canada et la Communauté. Les manquements peuvent être combattus, le cas échéant, par des canaux juridiques, administratifs et politiques. Leur répétition entraîne la suspension des effets de la présente décision.
(14)
Les normes en vertu desquelles l’ASFC traite les données DP des passagers sur la base de la législation canadienne et des Engagements respectent les principes essentiels nécessaires pour assurer un niveau de protection adéquat des personnes physiques.
(15)
En ce qui concerne le principe de limitation à une finalité spécifique, les données à caractère personnel des passagers aériens contenues dans les DP qui sont transférés à l’ASFC doivent être traitées dans un but spécifique et n’être utilisées ou communiquées ultérieurement que dans la mesure où cela n’est pas incompatible avec la finalité du transfert. En particulier, les données des DP doivent être utilisées dans le but unique de prévenir et de combattre le terrorisme et les crimes liés au terrorisme, d’autres délits graves, y compris la criminalité organisée qui, par nature, revêtent un caractère transnational.
(16)
En ce qui concerne la qualité des données et le principe de proportionnalité, qui doivent être considérés conjointement avec des motifs d’intérêt public importants justifiant le transfert des données des DP, les données fournies à l’ASFC ne doivent pas être ultérieurement modifiées par cette dernière. 25 rubriques de données des DP au maximum sont transférées et l’ASFC conviendra avec la Commission européenne de la révision des 25 rubriques des PNR requises énumérées à l’annexe A avant d’effectuer toute révision. Les informations personnelles supplémentaires recherchées par suite directe de l’examen de données de DP sont obtenues de sources non gouvernementales, uniquement par des voies légales. En règle générale, les DP sont effacés après une période maximale fixée à trois ans et six mois.
(17)
En ce qui concerne le principe de transparence, l’ASFC informe les voyageurs de la finalité du transfert et du traitement et leur fournit l’identité du responsable du traitement des données ainsi que d’autres renseignements.
(18)
En ce qui concerne le principe de sécurité, l’ASFC prend les mesures de sécurité techniques et organisationnelles appropriées aux risques présentés par le traitement.
(19)
Les droits d’accès, de rectification et d’opposition sont reconnus dans la loi sur la protection des renseignements personnels à tous les individus présents au Canada. L’ASFC étend ces droits aux renseignements DP en sa possession concernant les étrangers qui ne sont pas présents au Canada. Les exceptions prévues sont dans l’ensemble comparables aux restrictions qui peuvent être imposées par un État membre au titre de l’article 13 de la directive 95/46/CE.
(20)
Les transferts ultérieurs sont effectués, au cas par cas, à d’autres autorités, y compris des autorités étrangères, à des fins qui sont identiques ou conformes à celles établies dans la déclaration de limitation de l’objectif concernant une quantité minimale de données. Des transferts peuvent également être effectués en vue de la protection des intérêts vitaux de la personne concernée ou d’autres personnes, notamment en cas de risques sanitaires ou dans le cadre d’une procédure pénale ou au titre d’autres exigences prévues par la loi. Ces autorités doivent, en vertu des conditions expresses de diffusion, employer les données uniquement aux fins prévues et ne pas procéder à un transfert ultérieur sans l’accord de l’ASFC. Aucune autre autorité étrangère, fédérale, provinciale ou locale ne dispose d’un accès électronique direct aux données de DP via les bases de données de l’ASFC. Cette dernière s’oppose à la divulgation publique des DP sur la base des exemptions prévues par les dispositions pertinentes de la loi sur l’accès à l’information et de la loi sur la protection des renseignements personnels.
(21)
L’ASFC n’utilise pas de données sensibles au sens de l’article 8 de la directive 95/46/CE.
(22)
En ce qui concerne les mécanismes de contrôle visant à garantir le respect de ces principes par l’ASFC, il est prévu un système de formation et d’information du personnel de l’ASFC, ainsi que de sanctions pour les membres individuels dudit personnel. Le bureau indépendant du commissaire canadien à la protection de la vie privée veille au respect, par l’ASFC, de la confidentialité des données en général et ce, en vertu des conditions fixées dans la Charte canadienne des droits et libertés et de la loi sur la protection des renseignements personnels. Le Commissariat à la protection de la vie privée peut examiner les plaintes qui lui sont transmises par les autorités responsables de la protection des données dans les États membres au nom des résidents de l'Union européenne si ceux-ci estiment que leurs plaintes n’ont pas été traitées de façon satisfaisante par l’ASFC. Le respect des Engagements fait l’objet d’un examen annuel conjoint mené par l’ASFC et une équipe dirigée par la Commission.
(23)
Afin de contribuer à la transparence et en vue de garantir la capacité des autorités compétentes au sein des États membres d’assurer la protection des personnes physiques à l’égard du traitement de leurs données à caractère personnel, il convient de préciser les circonstances exceptionnelles dans lesquelles la suspension de flux particuliers de données peut être justifiée, indépendamment de la constatation du niveau de protection adéquat.
(24)
Le groupe de travail sur la protection des personnes à l’égard du traitement des données à caractère personnel institué par l’article 29 de la directive 95/46/CE, a rendu des avis sur le niveau de protection assuré par les autorités canadiennes en ce qui concerne les données sur les passagers, qui ont guidé la Commission pendant toute la durée de ces négociations avec l’ASFC. La Commission a tenu compte de ces avis lors de l’élaboration de la présente décision (4).
(25)
Les mesures prévues par la présente décision sont conformes à l’avis du comité institué par l’article 31, paragraphe 1, de la directive 95/46/CE,
A ARRÊTÉ LA PRÉSENTE DÉCISION:
Article premier
Aux fins de l’article 25, paragraphe 2, de la directive 95/46/CE, l’Agence des services frontaliers du Canada (ci-après dénommée ASFC) est considérée comme assurant un niveau de protection adéquat des données DP transférées de la Communauté en ce qui concerne les vols à destination du Canada, conformément aux Engagements figurant à l’annexe.
Article 2
La présente décision concerne le niveau de protection adéquat assuré par l’ASFC en vue de répondre aux exigences de l’article 25, paragraphe 1, de la directive 95/46/CE et n’aura aucune influence sur d’autres conditions ou restrictions mettant en application d’autres dispositions de la directive qui s’appliquent au traitement de données à caractère personnel dans les États membres.
Article 3
1. Sans préjudice des pouvoirs leur permettant de prendre des mesures pour assurer le respect des dispositions nationales adoptées conformément aux dispositions autres que l’article 25 de la directive 95/46/CE, les autorités compétentes des États membres peuvent exercer les pouvoirs dont elles disposent actuellement pour suspendre le transfert de données à l’ASFC afin de protéger les personnes physiques à l’égard du traitement des données à caractère personnel et ce, dans les cas:
a)
où une autorité canadienne compétente a constaté que l’ASFC ne respecte pas les normes applicables en matière de protection,
b)
où il est fort probable que les normes de protection établies à l’annexe I ne sont pas respectées et où il y a tout lieu de croire que l’ASFC ne prend pas ou ne prendra pas en temps voulu les mesures qui s’imposent en vue de régler l’affaire en question; où la poursuite du transfert entraînerait un risque imminent de grave préjudice pour les personnes concernées; et où les autorités compétentes de l’État membre se sont raisonnablement efforcées, dans ces circonstances, d’avertir l’ASFC et de lui donner la possibilité de répondre.
2. La suspension du transfert cesse dès que les normes de protection sont assurées et que l’autorité compétente des États membres concernés en est avertie.
Article 4
1. Les États membres informent sans tarder la Commission des mesures adoptées sur la base de l’article 3.
2. Les États membres et la Commission s’informent aussi mutuellement de tout changement dans les normes de protection ainsi que des cas dans lesquels les mesures prises par les autorités chargées de veiller au respect par l’ASFC des normes de protection établies à l’annexe ne suffisent pas à en assurer le respect.
3. Si les informations recueillies sur la base de l’article 3 et des paragraphes 1 et 2 du présent article montrent que les principes essentiels nécessaires pour assurer un niveau de protection adéquat des personnes physiques ne sont plus respectés, ou qu’un quelconque organisme chargé de veiller au respect par l’ASFC des normes de production établies à l’annexe ne remplit pas efficacement sa mission, l’ASFC sera informée et, si nécessaire, la procédure visée à l’article 31, paragraphe 2, de la directive 95/46/CE sera applicable en vue d’annuler ou de suspendre la présente décision.
Article 5
La mise en œuvre de la présente décision sera évaluée et toute constatation pertinente sera signalée au comité institué par l’article 31 de la directive 95/46/CE, et notamment tout élément susceptible d’avoir une incidence sur l’appréciation, au titre de l’article premier de la présente décision, du niveau de protection adéquat des données à caractère personnel contenues dans les DP des passagers aériens transférés à l’ASFC, au sens de l’article 25 de la directive 95/46/CE.
Article 6
Les États membres prennent toutes les mesures nécessaires pour se conformer à la présente décision dans les quatre mois à compter de sa notification.
Article 7
La présente décision viendra à échéance trois ans et six mois à compter de sa notification, à moins qu’elle ne soit prolongée conformément à la procédure prévue à l’article 31, paragraphe 2, de la directive 95/46/CE.
Article 8
Les États membres sont destinataires de la présente décision.
Fait à Bruxelles, le 6 septembre 2005.

Labels: 10
8
0
12
18