2. Les expériences en dehors de l'Union européenne
Trois pays se sont dotés d'un système de données PNR : les Etats-Unis, le Canada et l'Australie. La Corée du Sud a un projet en cours.
Ces trois systèmes, tous différents, ont donné lieu à la conclusion d'accords avec l'Union européenne pour régler les modalités de la transmission et de l'exploitation des données PNR issues de vols en provenance d'un Etat membre et à destination de l'un de ces trois pays.
Le système américain est le plus ancien et le plus abouti. Dans le cadre de la lutte contre le terrorisme et les actes criminels, les Etats-Unis ont adopté, le 19 novembre 2001, une législation sur la sécurité de l'aviation et du transport ( the Aviation and Transportation Security Act ) et le 5 mai 2002, une loi renforçant les conditions d'entrée sur le territoire américain (Enhanced Border Security and Visa Entry Reform Act). Ces mesures prévoyaient qu'à compter du 5 mars 2003, les compagnies aériennes devaient communiquer aux services des douanes et de sécurité américains des informations personnelles relatives à leurs passagers, sous peine de contrôles renforcés, d'amendes ou même de suspension du droit d'atterrir.
Toutefois, ces exigences américaines heurtant les règles européennes en matière de protection des données personnelles, la conclusion d'un accord entre l'Union européenne et les Etats-Unis était nécessaire afin que les compagnies aériennes ne soient pas placées en porte-à-faux entre les législations américaines et européennes. Sans revenir sur les péripéties ayant finalement abouti à la conclusion d'un accord le 19 octobre 2006 et entré en vigueur le 1 er août 2007, il faut retenir que :
- cet accord 2 ( * ) a été conclu dans le cadre du troisième pilier 3 ( * ) ;
- le ministère de l'intérieur américain ( Department of Homeland Security-DHS ) peut transférer les données PNR à d'autres autorités gouvernementales et qu'il a accès, dans des circonstances exceptionnelles, aux données sensibles, c'est-à-dire celle pouvant révéler l'origine raciale ou ethnique, les convictions religieuses, les opinions politiques ou un problème de santé ;
- les finalités du système sont très larges et évolutives ;
- les données sont conservées sept ans, puis huit ans supplémentaires en cas de besoin, soit un total de quinze années, sans que des garanties aient été apportées sur leur destruction passé ce délai.
Les accords avec l'Australie et le Canada sont en revanche plus équilibrés.
A propos de l'accord avec le Canada 4 ( * ) , plusieurs points sont notables :
- les finalités poursuivies sont exclusivement la lutte contre le terrorisme ;
- 25 rubriques de données PNR sont transmises aux autorités canadiennes contre 34 dans les accords avec les Etats-Unis ;
- les citoyens européens bénéficient du droit d'accès et de rectification de leurs données dans les mêmes conditions que les résidents canadiens ;
- la durée de conservation maximale est de trois ans et demi.
L'accord avec l'Australie est assez proche de l'accord canadien, même si les finalités du système sont aussi larges que celles de l'accord avec les Etats-Unis. Les données sensibles ne sont pas conservées.
* 2 La Cour de justice des communautés européennes a annulé le 30 mai 2006 le premier accord conclu le 28 mai 2004. Elle a jugé que la base juridique de cet accord était inappropriée puisque pris dans le cadre du premier pilier. Le traitement lié au transfert des données PNR aux autorités américaines ayant pour objet la sécurité publique, un nouvel accord devait être conclu dans le cadre du troisième pilier.
* 3 Les champs de compétence de l'Union européenne sont répartis entre trois « piliers ». Le premier pilier regroupe schématiquement toutes les matières relatives au marché intérieur et à la libre circulation. Le deuxième pilier les questions de défense et de politique étrangère. Le troisième pilier, les questions de police et de justice.
Les règles d'adoption des textes européens diffèrent selon les piliers. Le premier pilier implique la majorité qualifiée, la codécision avec le Parlement européen et le contrôle de la Cour de justice. Le troisième pilier implique en revanche l'unanimité, l'avis simple du Parlement européen et l'absence de contrôle de la Cour de justice.
* 4 Accord signé le 3 octobre 2005 et publié au Journal officiel de l'Union européenne le 21 mars 2006.