Principes généraux
Dans le cadre des activités de l’Organisation de l’aviation civile internationale (OACI) relatives à la révision du chapitre 9 de l’annexe 9 (Facilitation) de la convention de Chicago concernant l’élaboration de normes et pratiques recommandées (SARP) en matière de données des dossiers passagers (données PNR), les États membres de l’Union, agissant conjointement dans l’intérêt de l’Union:
a) se conforment aux objectifs poursuivis par l’Union dans le cadre de sa politique PNR, notamment pour assurer la sûreté, protéger la vie et la sécurité des personnes et garantir le plein respect des droits fondamentaux, en particulier du droit à la vie privée et à la protection des données à caractère personnel;
b) sensibilisent l’ensemble des États membres de l’OACI aux normes et principes de l’Union relatifs au transfert de données PNR, tels qu’ils résultent du droit de l’Union applicable et de la jurisprudence de la Cour de justice de l’Union européenne;
c) promeuvent le développement de solutions multilatérales respectueuses des droits fondamentaux en ce qui concerne le transfert de données PNR par les compagnies aériennes aux autorités répressives, dans l’intérêt de la sécurité juridique et du respect des droits fondamentaux et afin de rationaliser les obligations imposées aux transporteurs aériens;
d) promeuvent l’échange de données PNR et des résultats du traitement de ces données entre les États membres de l’OACI, lorsque cela est jugé nécessaire pour la prévention et la détection des infractions terroristes ou des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière, dans le plein respect des libertés et droits fondamentaux;
e) continuent de soutenir l’élaboration par l’OACI de normes pour la collecte, l’utilisation, le traitement et la protection des données PNR, conformément à la résolution 2396 (2017);
f) continuent de soutenir le renforcement, dans tous les États membres de l’OACI, de la capacité de collecter, de traiter et d’analyser les données PNR conformément aux SARP de l’OACI, et de veiller à ce que les données PNR soient utilisées et communiquées à toutes les autorités nationales compétentes des États membres de l’OACI, dans le plein respect des droits de l’homme et des libertés fondamentales aux fins de prévenir, de détecter et d’instruire les infractions terroristes et les voyages de terroristes, conformément à la résolution 2396 (2017);
g) utilisent à titre de référence le document d’information concernant les normes et principes relatifs à la collecte, à l’utilisation, au traitement et à la protection des données PNR (doc. A40-WP/530) que la Finlande a présenté à la 40e session de l’Assemblée de l’OACI au nom de l’Union européenne et de ses États membres ainsi que des autres États membres de la Conférence européenne de l’aviation civile.
h) promeuvent la mise en place d’un environnement dans lequel le transport aérien international peut se développer dans un marché mondial, libéralisé et ouvert, et continuer de croître sans porter préjudice à la sûreté tout en veillant à l’introduction de garanties pertinentes;
Orientations
Les États membres de l’Union, agissant conjointement dans l’intérêt de l’Union, soutiennent l’inclusion des normes et principes suivants dans toutes les futures SARP de l’OACI en matière de données PNR:
1. En ce qui concerne les modalités de transmission des données PNR
a) Méthode de transmission: afin de protéger les données à caractère personnel contenues dans les systèmes des transporteurs aériens et de veiller à ce qu’elles restent sous le contrôle de ces systèmes, les données devraient être transmises en utilisant exclusivement le système «push».
b) Protocoles de transmission: il convient d’encourager le recours à des protocoles standard appropriés, sûrs et ouverts dans le cadre de protocoles de référence acceptés à l’échelle internationale pour la transmission des données PNR, dans le but d’accroître progressivement leur utilisation et, à terme, de remplacer les normes propriétaires.
c) Fréquence de transmission des données: la fréquence et le calendrier des transmissions de données PNR ne devraient pas créer une charge déraisonnable pour les transporteurs aériens et devraient être limités à ce qui est strictement nécessaire aux fins de l’application de la loi et de la sécurité aux frontières pour lutter contre le terrorisme et les formes graves de criminalité.
d) Absence d’obligation pour les transporteurs aériens de collecter des données supplémentaires: les transporteurs aériens ne devraient pas être tenus de collecter d’autres données PNR que celles qu’ils recueillent déjà, ou de collecter certains types de données, mais uniquement de transmettre les données qu’ils collectent déjà dans le cadre de leurs activités.
2. En ce qui concerne les modalités de traitement des données PNR
a) Calendrier de transmission et de traitement: sous réserve des garanties appropriées en matière de protection de la vie privée des personnes concernées, les données PNR peuvent être mises à disposition bien en amont de l’arrivée ou du départ d’un vol et, de ce fait, donner aux autorités davantage de temps pour traiter et analyser les données, et prendre éventuellement des mesures.
b) Comparaison avec des critères et bases de données prédéterminés: les autorités devraient traiter les données PNR en utilisant des critères fondés sur des données probantes et des bases de données qui sont pertinents pour la lutte contre le terrorisme et les formes graves de criminalité.
3. En ce qui concerne la protection des données à caractère personnel
a) Légalité, équité et transparence du traitement: il est nécessaire de disposer d’une base légale pour le traitement des données à caractère personnel, afin de sensibiliser les personnes aux risques, aux garanties et aux droits liés au traitement de leurs données à caractère personnel et aux modalités d’exercice de leurs droits en matière de traitement.
b) Limitation des finalités: les finalités pour lesquelles les données PNR peuvent être utilisées par les autorités devraient être clairement définies et ne devraient pas dépasser ce qui est nécessaire compte tenu des objectifs à atteindre, en particulier pour ce qui est de l’application de la loi et de la sécurité des frontières pour lutter contre le terrorisme et les formes graves de criminalité.
c) Portée des données PNR: il convient d’identifier clairement les éléments de données PNR que les compagnies aériennes doivent transférer et d’en dresser une liste exhaustive. Cette liste devrait être normalisée afin de garantir que ces données sont limitées au minimum, tout en empêchant le traitement de données sensibles, y compris les données révélant l’origine raciale ou ethnique d’une personne, ses opinions politiques ou ses convictions religieuses ou philosophiques, son appartenance à un syndicat, son état de santé, sa vie sexuelle ou son orientation sexuelle.
d) Utilisation des données PNR: le traitement ultérieur des données PNR devrait être limité aux finalités du transfert initial, sur la base de critères objectifs et sous réserve des conditions de fond et de procédure conformes aux exigences applicables aux transferts de données à caractère personnel.
e) Traitement automatisé des données PNR: le traitement automatisé devrait être fondé sur des critères préétablis objectifs, fiables et non discriminatoires et ne devrait pas être utilisé comme seul fondement pour toute décision ayant des effets juridiques défavorables ou affectant gravement une personne.
f) Conservation des données: la durée de conservation des données PNR devrait être limitée et ne devrait pas excéder ce qui est nécessaire pour atteindre l’objectif initialement poursuivi. Il convient de veiller à ce que les données soient effacées conformément aux exigences légales du pays source. À la fin de la période de conservation, les données PNR devraient être effacées ou anonymisées.
g) Communication des données PNR aux autorités habilitées: la communication ultérieure, au cas par cas, des données PNR à d’autres autorités publiques au sein du même État ou à d’autres États membres de l’OACI ne peut avoir lieu que si l’autorité destinataire exerce des fonctions liées à la lutte contre le terrorisme ou les formes graves de criminalité transnationale et garantit les mêmes protections que celles offertes par l’autorité qui communique les données.
h) Sécurité des données: des mesures appropriées doivent être prises pour protéger la sécurité, la confidentialité et l’intégrité des données PNR.
i) Transparence et information: sous réserve des restrictions nécessaires et proportionnées, les personnes physiques devraient être informées du traitement de leurs données PNR, ainsi que des droits et des voies de recours dont elles disposent.
j) Accès, rectification et suppression: sous réserve des restrictions nécessaires et proportionnées, les personnes physiques devraient avoir le droit d’accéder à leurs données PNR et de les rectifier.
k) Voies de recours: les personnes physiques devraient avoir droit à un recours administratif et judiciaire effectif si elles estiment que leurs droits à la vie privée et à la protection des données ont été violés.
l) Surveillance et responsabilité: les autorités qui utilisent les données PNR devraient être tenues de rendre compte devant une autorité publique indépendante dotée de pouvoirs effectifs d’enquête et de répression, et être contrôlées par cette autorité indépendante qui devrait être en mesure d’exécuter ses tâches à l’abri de toute influence, en particulier des autorités répressives, et d’être contrôlées par elle.
4. En ce qui concerne le partage d’informations PNR entre les autorités répressives
a) Promotion du partage d’informations: il convient d’encourager les échanges de données PNR au cas par cas entre les autorités répressives de différents États membres de l’OACI afin d’améliorer la coopération internationale en matière de prévention et de détection du terrorisme et des formes graves de criminalité, ainsi que d’enquêtes et de poursuites en la matière.
b) Sécurité des échanges d’informations: l’échange d’informations devrait se faire par des canaux appropriés garantissant une sécurité adéquate des données et respectant pleinement les cadres juridiques nationaux et internationaux relatifs à la protection des données à caractère personnel.