Utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière

Avis du Contrôleur européen de la protection des données sur la proposition de directive relative à l’utilisation des données des dossiers passagers pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière.

Le CEPD se félicite d’avoir été consulté par la Commission. Déjà avant l’adoption de la proposition, le CEPD avait eu la possibilité de présenter des observations informelles. Certaines de ces observations ont été prises en considération dans la proposition et le CEPD relève que dans l’ensemble, les garanties de protection des données ont été renforcées dans la proposition. Cependant, un certain nombre de points restent préoccupants, notamment en ce qui concerne l’ampleur et les finalités de la collecte des données à caractère personnel.

Pour rappel, le principal objectif d’un système PNR au niveau de l’Union est la mise en place d’un système obligeant les transporteurs aériens assurant des vols internationaux entre l’UE et des pays tiers à transmettre aux autorités compétentes les données PNR de tous les passagers, afin de prévenir et de détecter les infractions terroristes et les formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière. Les données seraient centralisées et analysées par des unités de renseignements passagers et le résultat de l’analyse serait transmis aux autorités nationales compétentes de chaque État membre.

Depuis 2007, le CEPD suit de près les développements liés à un possible système PNR au niveau de l’Union, parallèlement aux développements concernant les systèmes PNR de pays tiers. Le principal aspect régulièrement soulevé par le CEPD porte sur la justification de la nécessité d’un système PNR européen qui viendrait s’ajouter à un certain nombre d’autres instruments autorisant le traitement de données à caractère personnel à des fins répressives.

Le CEPD reconnaît que des améliorations visibles sur le plan de la protection des données ont été apportées à la proposition actuelle, par rapport à la version sur laquelle il a déjà rendu un avis (voir CNS/2007/0237). Ces améliorations portent notamment sur le champ d’application de la proposition, la définition du rôle des différentes parties prenantes (unités de renseignements passagers), l’exclusion du traitement de données sensibles, l’adoption d’une méthode «push» sans période de transition et la limitation de la période de conservation des données.

Cependant, alors qu’il existe une volonté claire d’expliquer la nécessité du système, le CEPD ne trouve toujours aucun motif probant pour développer le système, notamment en ce qui concerne «l’information préalable» à grande échelle de tous les passagers.

Globalement, le CEPD estime donc que la condition préalable indispensable à tout développement d’un système PNR — à savoir le respect des principes de nécessité et de proportionnalité — n’est pas satisfaite dans la proposition. Le CEPD rappelle que selon lui, les données PNR pourraient certainement être nécessaires à des fins répressives dans des cas bien déterminés et être utilisées de façon conforme aux exigences en matière de protection des données. C’est leur utilisation de façon systématique et sans discernement pour tous les passagers qui soulève des préoccupations particulières.

Pour le CEPD, la seule mesure conforme aux exigences en matière de protection des données serait l’utilisation des données PNR au cas par cas, quand survient une menace sérieuse accompagnée par des indicateurs concrets.

Au-delà de cette lacune majeure, les observations du CEPD concernent les aspects suivants:

• le champ d’application devrait être beaucoup plus limité compte tenu du type d’infractions concernées. Le CEPD émet des doutes quant à l’inclusion dans la proposition de formes graves de criminalité n’ayant aucun lien avec le terrorisme. En tout état de cause, les infractions mineures devraient être explicitement circonscrites et écartées. Le CEPD recommande donc d’exclure la possibilité pour les États membres d’élargir le champ d’application;
• la nature des différentes menaces autorisant l’échange de données entre unités de renseignements passagers ou avec les États membres n’a pas été suffisamment définie;
• les principes de protection des données applicables ne devraient pas uniquement se fonder sur la décision-cadre 2008/977/JAI du Conseil qui comprend des lacunes, notamment au niveau des droits des personnes concernées et des transferts à des pays tiers. Un niveau plus élevé de garanties, basé sur les principes de la directive 95/46/CE, devrait être introduit dans la proposition;
• aucune donnée ne devrait être conservée au-delà de 30 jours sous une forme identifiable, sauf dans les cas nécessitant une enquête plus approfondie;
• la liste des données PNR à traiter devrait être restreinte, notamment, le champ «remarques générales» ne devrait pas être inclus;
• l’évaluation de la directive devrait être fondée sur des données exhaustives, incluant le nombre de personnes effectivement condamnées — et pas seulement poursuivies — sur la base du traitement de leurs données.

Le CEPD recommande également que les développements relatifs à un système PNR au niveau de l’Union soient évalués dans une perspective plus large, incluant l’évaluation générale actuelle de l’ensemble des instruments européens dans le domaine de la gestion de l’échange de l’information mise en œuvre par la Commission en janvier 2010. En particulier, les résultats des travaux actuels sur le modèle européen d’échange d'informations, dont la publication est prévue pour 2012, devraient être pris en considération lors de l’évaluation de la nécessité d’un système PNR à l’échelle de l’Union.