6 juillet 2023
Monsieur Didier Reynders, membre de la Commission
Commission européenne
Rue de la Loi, 200
1049 Bruxelles
Belgique
Monsieur le Commissaire,
Le ministère américain des transports (ci-après le «ministère» ou le «DOT») est heureux d’avoir l’occasion de décrire son rôle dans la mise en œuvre du cadre de protection des données UE — États-Unis (ci-après le «CPD UE — États-Unis»). Le CPD UE — États-Unis jouera un rôle essentiel dans la protection des données à caractère personnel assurée lors de transactions commerciales dans un monde de plus en plus interconnecté. Il permettra aux entreprises de réaliser des transactions importantes au sein de l’économie mondiale tout en garantissant aux citoyens de l’Union des mesures de protection considérables de leur vie privée.
Le DOT a manifesté publiquement pour la première fois son engagement à appliquer le cadre que constituait la sphère de sécurité entre les États-Unis et l’Union européenne dans une lettre transmise à la Commission européenne il y a plus de 22 ans, un engagement qui a été réitéré et renforcé dans une lettre de 2016 concernant le cadre du bouclier de protection des données UE — États-Unis. Dans cette lettre, le DOT s’engageait à appliquer fermement les principes de la sphère de sécurité relatifs à la protection de la vie privée, puis les principes du bouclier de protection des données UE — États-Unis. Le DOT prolonge cet engagement en faveur des principes du CPD UE — États-Unis et la présente lettre consacre cet engagement.
Le DOT confirme notamment son engagement dans les domaines clés suivants: 1) la hiérarchisation des enquêtes sur les allégations de violations des principes du CPD UE — États-Unis; 2) la répression adéquate contre les entités effectuant des déclarations de certification au titre du CPD UE — États-Unis fausses ou frauduleuses; et 3) la surveillance des violations des principes du CPD UE — États-Unis et l’adoption d’ordonnances d’exécution à leur encontre. Nous fournissons des informations sur chacun de ces engagements et, dans les contextes pertinents, des informations utiles sur le rôle du DOT dans la protection de la vie privée des consommateurs et l’application des principes du CPD UE — États-Unis.
1. Contexte
A. Compétences du DOT en matière de protection de la vie privée
Le ministère a pris le ferme engagement de garantir le respect de la confidentialité des informations fournies par
les consommateurs aux compagnies aériennes et aux agents de billetterie. La prérogative du DOT de prendre des mesures dans ce domaine est établie au titre 49, section 41712, de l’U.S.C., qui interdit aux transporteurs et aux agents de billetterie «toute pratique déloyale ou frauduleuse ou tout acte de concurrence déloyale» relative au transport aérien ou à la vente de transport aérien. La section 41712 est
calquée sur la section 5 de la loi sur la commission fédérale du commerce (Federal Trade Commission, FTC) (15 U.S.C. 45). Récemment, le DOT a publié des règlements définissant les pratiques déloyales et frauduleuses, conformément aux précédents du DOT et de la FTC (tire 14 du CFR, article 399.79). Plus précisément, une pratique est «déloyale» si elle entraîne ou est .
susceptible d’entraîner un préjudice important que les consommateurs ne sont pas raisonnablement en mesure d’éviter ou qui n’est pas compensé par des avantages pour les consommateurs ou la concurrence. Une pratique est «frauduleuse» pour les consommateurs si elle est susceptible d’induire en erreur un consommateur agissant raisonnablement en fonction des circonstances, sur un aspect essentiel. Un aspect est essentiel s’il est susceptible d’avoir influé sur le comportement ou la décision du consommateur à l’égard d’un produit ou d’un service. Outre ces principes généraux, le DOT interprète spécifiquement la section 41712 comme interdisant aux transporteurs et aux agents de billetterie: 1) de violer les dispositions de sa politique de protection de la vie privée; 2) d’enfreindre les règles établies par le ministère déterminant les pratiques déloyales ou frauduleuses; 3) d’enfreindre la loi sur la protection de la vie privée des enfants en ligne (Children’s Online Privacy Protection Act ou «COPPA») ou les règles de la FTC portant exécution de la COPPA; ou 4) de ne pas respecter, en tant que participant au CPD UE — États-Unis, les principes du CPD UE — États-Unis
Comme indiqué ci-dessus, en vertu du droit fédéral, le DOT est seul compétent pour réglementer les pratiques des compagnies aériennes relatives au respect de la vie privée et partage avec la FTC la compétence en ce qui concerne les pratiques, en matière de respect de la vie privée, des agents de billetterie d’avion dans le cadre de la vente de transport aérien.
Dès lors, lorsqu’un transporteur aérien ou un vendeur de transport aérien s’engage publiquement à respecter les principes du CPD UE — États-Unis, le ministère peut faire usage des pouvoirs qui lui sont conférés par la section 41712 pour assurer le respect de ces principes. Par conséquent, lorsqu’un passager communique des informations à un transporteur ou à un agent de billetterie qui s’est engagé à respecter les principes du CPD UE — États-Unis, tout manquement à cet engagement constituerait une violation de la section 41712.
B. Pratiques en matière de mise en application
Le bureau du ministère des transports pour la protection des consommateurs dans le domaine du transport aérien (Office of Aviation Consumer Protection, ci-après l’«OACP») mène des enquêtes et engage des poursuites en vertu du titre 49, section 41712, de l’U.S.C. Il fait appliquer l’interdiction, établie à la section 41712, de pratiques déloyales et frauduleuses, principalement par la négociation, la préparation d’ordonnances de cessation et d’abstention, et l’élaboration d’ordonnances en vue de sanctions civiles. L’OACP prend essentiellement connaissance des violations potentielles grâce aux réclamations qu’il reçoit de personnes, d’agents de voyage, de compagnies aériennes et d’agences gouvernementales américaines et étrangères. Les consommateurs peuvent utiliser le site web du DOT pour introduire des réclamations en matière de respect de la vie privée contre les compagnies aériennes et les agents de billetterie.
Lorsqu’une transaction raisonnable et appropriée ne peut être conclue, l’OACP est habilité à entamer une procédure d’exécution impliquant une audition de témoins devant un juge de droit administratif relevant du DOT. Le juge de droit administratif est habilité à rendre des ordonnances de cessation et d’abstention et à infliger des sanctions civiles. Le non-respect des dispositions de la section 41712 peut entraîner l’émission d’ordonnances de cessation et d’abstention, et des sanctions de droit civil jusqu’à un montant de 37 377 USD pour chaque violation de la section 41712.
Le ministère n’est pas habilité à accorder des dommages-intérêts ou une réparation pécuniaire aux plaignants. Il est en revanche compétent pour approuver des transactions, conclues à la suite des enquêtes entamées par l’OACP, qui proposent un avantage direct aux consommateurs (par ex. sous forme de liquidités ou de bons d’achat) en échange des amendes payables dues au gouvernement américain. Cela s’est déjà produit dans le passé et pourrait également se produire dans le contexte des principes du CPD UE — États-Unis si les circonstances le justifient. Des infractions répétées à la section 41712 par une compagnie aérienne soulèveraient également des questions quant à la bonne volonté de celle-ci de respecter son engagement. Dans des situations extrêmes, on pourrait considérer qu’elle n’est plus apte à l’exploitation et, par conséquent, elle risquerait de perdre sa licence d’exploitation.
À ce jour, le DOT a reçu relativement peu de réclamations faisant état de violations de la vie privée par des agents de billetterie ou des compagnies aériennes. Lorsqu’il y a réclamation, celle-ci est examinée conformément aux principes susmentionnés.
C. Mesures de protection juridiques adoptées par le DOT bénéficiant aux consommateurs de l’Union
Au titre de la section 41712, l’interdiction des pratiques déloyales ou frauduleuses dans le domaine du transport aérien ou de la vente de transport aérien s’applique aux transporteurs aériens et agents de billetterie américains et étrangers. Le DOT poursuit régulièrement des compagnies aériennes américaines et étrangères pour des pratiques qui affectent des consommateurs tant étrangers et qu’américains, dès lors que ces pratiques sont intervenues dans le cadre de la fourniture de services de transport depuis ou vers les États-Unis. Le DOT utilise et continuera à utiliser tous les moyens à sa disposition pour protéger les consommateurs étrangers et américains contre les pratiques déloyales ou frauduleuses des entités réglementées dans le secteur du transport aérien.
En ce qui concerne les compagnies aériennes, le DOT assure aussi le respect d’autres lois ciblées dont la portée en matière de protection s’étend aux consommateurs non américains, comme la loi sur le respect de la vie privée des enfants en ligne (Children’s Online Privacy Protection Act ou «COPPA»). Cette dernière exige notamment que les opérateurs de sites web et de services en ligne destinés aux enfants, ou des sites grand public qui collectent sciemment des informations à caractère personnel auprès d’enfants de moins de 13 ans, affichent un avertissement parental et obtiennent un consentement parental vérifiable. Les sites web et services basés aux États-Unis qui sont soumis à la COPPA et qui collectent des informations à caractère personnel auprès d’enfants étrangers sont tenus de respecter la COPPA. Les sites web et services en ligne basés à l’étranger doivent également respecter la COPPA s’ils ciblent les enfants américains ou s’ils collectent sciemment des informations à caractère personnel auprès d’enfants aux États-Unis. Le DOT est compétent pour prendre des mesures répressives à partir du moment où des compagnies aériennes américaines ou étrangères actives aux États-Unis enfreignent la COPPA.
II. Application des principes du CPD UE — États-Unis
Lorsqu’une compagnie aérienne ou un agent de billetterie décide de participer au CPD UE — États-Unis et que le ministère reçoit une réclamation alléguant une violation des principes du CPD UE — États-Unis, le ministère prend les mesures suivantes afin d’appliquer fermement les principes du CPD UE — États-Unis.
A. Hiérarchisation des enquêtes sur allégation de violations
L’OACP du ministère des transports enquête sur chaque allégation de violation des principes du CPD UE
États-Unis, y compris les réclamations émanant des autorités de protection des données (ci-après les «APD») de l’Union. Il prend des mesures répressives lorsqu’une violation est avérée. L’OACP coopère en outre avec la FTC et le ministère du commerce et donne la priorité aux allégations de manquement, par les entités réglementées, aux engagements pris en matière de respect de la vie privée dans le cadre du CPD UE — États-Unis.
Lorsqu’une allégation de violation des principes du CPD UE — États-Unis lui parvient, l’OACP peut prendre une série de mesures dans le cadre de son enquête. Il peut, par exemple, examiner la politique de l’agent de billetterie ou de la compagnie aérienne en matière de respect de la vie privée, exiger des informations complémentaires auprès de l’agent de billetterie ou de la compagnie ou de tiers, assurer un suivi auprès de l’entité ayant soumis la plainte et déterminer s’il existe un schéma de violations ou un nombre considérable de consommateurs affectés. Par ailleurs, il détermine si l’affaire comporte des aspects relevant du ministère du commerce ou de la FTC, étudie l’utilité d’une sensibilisation des consommateurs et des entreprises et, s’il y a lieu, entame une procédure d’exécution.
Si des violations potentielles des principes du CPD UE — États-Unis par des agents de billetterie sont portées à sa connaissance, il travaille sur le dossier en coordination avec la FTC. Nous informons également la FTC et le ministère du commerce des résultats de toute action de mise en application des principes du CPD UE — États-Unis.
B. Traitement des déclarations de participation fausses ou frauduleuses
Le ministère maintient son engagement à enquêter sur les violations des principes du CPD UE — États-Unis, y compris les déclarations fausses ou frauduleuses de participation au CPD UE — États-Unis. Nous examinerons en priorité les dossiers soumis par le ministère du commerce concernant les organisations qui, selon lui, affirment indûment participer au CPD UE — États-Unis ou utilisent sans autorisation la marque de certification du CPD UE — États-Unis.
Signalons également que, lorsqu’une organisation affirme, dans sa politique en matière de protection de la vie privée, respecter les principes du CPD UE — États-Unis, le fait qu’elle n’ait pas, ou n’ait plus, autocertifié son adhésion aux principes auprès du ministère du commerce ne suffit pas à empêcher le DOT d’exiger qu’elle respecte ces engagements.
C. Surveillance et délivrance d’ordonnances de mise en œuvre par la sphère publique relatives à des violations du CPD UE — États-Unis
L’OACP du ministère des transports maintient également son engagement à contrôler les ordonnances d’exécution selon les besoins, afin d’assurer le respect des principes du CPD UE — États-Unis. Plus précisément, lorsqu’il délivre une ordonnance exigeant qu’une compagnie aérienne ou un agent de billetterie mette fin ou renonce à des violations des principes du CPD UE — États-Unis et de la section 41712, il contrôle le respect, par l’entité, de la clause de cessation et d’abstention incluse dans l’ordonnance. L’OACP veille en outre à ce que les ordonnances découlant d’affaires pourtant sur les principes du CPD UE — États-Unis soient publiées sur son site web.
Nous nous réjouissons à l’idée de poursuivre notre collaboration avec nos partenaires fédéraux et avec les acteurs de l’Union sur les questions ayant trait au CPD UE — États-Unis.
J’espère que ces informations vous seront utiles et me tiens à votre disposition pour tout renseignement complémentaire.
Je vous prie, Monsieur le Commissaire, d’agréer l’expression de ma haute considération.
Pete Buttigieg