COMMISSION EUROPÉENNE

Bruxelles, le 19.1.2017

COM(2017) 29 final

RAPPORT DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL

sur l’examen conjoint de la mise en œuvre de l’accord entre les États-Unis d'Amérique et l'Union européenne sur l'utilisation des données des dossiers passagers (données PNR) et leur transfert au ministère américain de la sécurité intérieure

{SWD(2017) 14 final}
{SWD(2017) 20 final}

RAPPORT DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL

sur l’examen conjoint de la mise en œuvre de l’accord entre les États-Unis d'Amérique et l'Union européenne sur l'utilisation des données des dossiers passagers (données PNR) et leur transfert au ministère américain de la sécurité intérieure

Introduction

L'accord actuel entre les États-Unis d'Amérique et l'Union européenne (UE) sur l'utilisation des données des dossiers passagers (données PNR) et leur transfert au ministère américain de la sécurité intérieure (Department of Homeland Security ou DHS) est entré en vigueur le 1er juillet 2012.

Il prévoit que les parties procèdent à un examen conjoint de sa mise en œuvre une première fois un an après son entrée en vigueur et, par la suite, à un rythme régulier défini d'un commun accord. Le présent examen conjoint a été réalisé les 1er et 2 juillet 2015 à Washington; le processus de préparation de l'examen conjoint et du rapport qui en résulte est décrit à la fin du présent rapport. Il avait pour principal objet de rendre compte des suites données aux recommandations du rapport précédent de 2013 1 et de la mise en œuvre de l’accord, en accordant une attention particulière au mode de transmission des données PNR ainsi qu'au transfert ultérieur de ces données tels que prévus dans les articles pertinents de l’accord.

L’examen conjoint repose sur la méthodologie mise en œuvre par les équipes d'experts de l’UE et des États-Unis lors du premier examen conjoint de l’accord de 2004 sur les données PNR, qui a eu lieu en septembre 2005, et lors de l’examen conjoint de 2013. La première partie de cette méthodologie a consisté en un questionnaire que la Commission européenne a envoyé au DHS préalablement à l’examen conjoint.

Le document de travail des services de la Commission (SWD) qui accompagne le présent rapport est composé de cinq chapitres. Le chapitre 1 donne un aperçu du contexte de l’examen ainsi que de l’objet et des aspects procéduraux de l’exercice. Le chapitre 2 présente une mise à jour sur la mise en œuvre des recommandations formulées à l’issue de l’examen de 2013. Le chapitre 3 expose les principales conclusions de l’examen conjoint de 2015 et les questions devant encore être traitées par le DHS. Le chapitre 4 présente un résumé des recommandations formulées à l’issue de l’examen de 2015. Le chapitre 5 présente les conclusions générales de l'exercice. Enfin, le document de travail est accompagné d’une annexe qui contient le questionnaire et les réponses du DHS à celui-ci.

Mise en œuvre des recommandations de 2013

Toutes les recommandations formulées à l’issue de l’examen de 2013 ont été soit entièrement respectées, soit suivies d’améliorations qui se poursuivent.

Pour donner suite à une recommandation générale du rapport de 2013, le Bureau de la protection de la vie privée du DHS a procédé, préalablement à l’examen conjoint de 2015, à un «contrôle interne du respect de la vie privée» 2 dans la mise en œuvre par le DHS de l’accord. Ce contrôle visait à établir si l’action du DHS était conforme aux normes et aux garanties prévues dans l’accord conclu avec l’UE et le rapport a été publié le 26 juin 2015.

Le lancement de la période de six mois, qui déclenche la dépersonnalisation des données PNR en vertu de l’article 8, paragraphe 1, de l’accord, s’effectue désormais à la date à laquelle les données PNR sont chargées dans le système de ciblage automatisé américain - ATS (appelée «date de chargement»), qui correspond au premier jour où les données sont stockées dans le système. L’ancienne pratique qui consistait à retarder l’application de la période de six mois (jusqu’à la dernière mise à jour ATS des données PNR) est abandonnée.

Le rapport de 2013 recommandait également d’assurer un passage intégral à la méthode «push», aussi rapidement que possible et au plus tard le 1er juillet 2014, conformément à l’article 15, paragraphe 4, de l’accord. Lors de l’examen de 2015, quatre transporteurs aériens ne communiquaient toujours pas les données PNR suivant la méthode «push»; le DHS les aidait à développer leur capacité à cet effet.

Le rapport de 2013 recommandait que conformément à l’article 18 de l’accord, le DHS améliore la procédure de notification aux États membres de l’UE en cas de partage de données PNR de l’UE entre le DHS et des pays tiers. En réponse, depuis juillet 2014, un agent des douanes et de la protection des frontières (Customs and Border Protection - CBP) est détaché auprès d’Europol en qualité d’officier de liaison. Lorsque l’officier de liaison identifie un passager «ciblé» ayant un lien avec un État membre, il en informe les représentants de cet État membre dans un rapport.

Des améliorations ont également été apportées à la mise en œuvre de l’article 13, qui porte sur les voies de recours offertes aux particuliers. Le rapport de 2013 préconisait une plus grande transparence quant aux voies de recours prévues par le droit américain pour les passagers. Il est certes positif que le programme TRIP (Traveller Redress Inquiry Program) du DHS constitue le point de contact unique pour le public, mais les États-Unis devraient continuer à examiner tous les moyens de faire en sorte que tous les passagers soient informés des voies de recours disponibles.

Recommandations faisant suite à l’examen de 2015

L’équipe d’experts de l’UE a constaté que les États-Unis ont continué de mettre en œuvre l’accord conformément aux conditions qui y sont prévues. Le DHS respecte les obligations qui lui incombent en ce qui concerne les droits d’accès des passagers et dispose d’un mécanisme de surveillance pour prévenir toute discrimination illégale. La Commission salue également les efforts constants qui ont été déployés pour assurer la réciprocité et le partage préventif d’informations analytiques tirées des données PNR avec les États membres et, selon le cas, avec Europol et Eurojust. Le masquage et l'effacement des données sensibles sont respectés et le DHS a déclaré n'avoir jamais eu accès à des données sensibles à des fins opérationnelles.

Le DHS continue à honorer ses engagements quant aux droits des passagers, en particulier en ce qui concerne la communication de renseignements utiles aux passagers et la mise en œuvre du droit d'y accéder sans aucune dérogation, ainsi que le prévoient les articles 11, 12 et 13. Le fait que la loi sur le recours juridictionnel (Judicial Redress Act) ait été adoptée en 2015, c’est-à-dire depuis l’examen conjoint, est une évolution positive.

Le partage de données avec d’autres services américains est traité par le DHS conformément à l’accord. Il est effectué au cas par cas, est enregistré et a lieu sur la base d’accords écrits. Le partage des données avec des pays tiers fait l’objet d’une interprétation stricte et est également conforme à l’accord. Les États-Unis appliquent les mêmes exigences en matière de protection des données à toutes les données PNR qu’ils obtiennent et traitent, indépendamment du fait que celles-ci proviennent de l’UE ou de pays tiers.

Toutefois, malgré la bonne mise en œuvre de l’accord, certaines améliorations demeurent nécessaires. L’article 2 dispose que l’accord s’applique aux vols au départ et à destination des États-Unis. L’application d’un mécanisme dérogatoire pour accéder à des données relatives à d'autres vols est subordonnée à plusieurs conditions et fait l’objet d’un contrôle. Le nombre de ces accès à titre dérogatoire ayant augmenté depuis l’examen de 2013, il est nécessaire que le DHS en consigne les motifs afin de mieux en comprendre les raisons.

En ce qui concerne l’article 5, le nombre d’agents disposant de droits d’accès aux données PNR a augmenté depuis l’examen précédent de 2013. Alors que l’équipe d'experts de l'UE se déclare satisfaite des mécanismes de contrôle existants, le DHS est invité à continuer de contrôler le nombre d’agents disposant de tels droits d’accès afin de limiter la consultation et l’utilisation des données PNR aux seuls membres du personnel poursuivant une finalité opérationnelle.

S’agissant de l’article 6, aucune donnée sensible n’a été consultée au cours de la période d’examen. En vertu de ses règles internes, le DHS est tenu d’informer la Commission, dans un délai de 48 heures, de toute consultation de données sensibles par son personnel. Il est recommandé au DHS d’assurer un suivi régulier de la liste des codes identifiant les données sensibles, afin de faire en sorte que toutes les données sensibles soient automatiquement bloquées par le système. Toute modification doit être communiquée à la Commission.

Le DHS applique des processus automatisés afin de masquer, à l’issue des six premiers mois, toutes les données qui pourraient permettre d’identifier le passager auquel se rapportent les données PNR. Cette procédure est conforme à l'article 8 de l'accord. En revanche, l’examen a révélé que le nombre de données PNR liées à des opérations répressives et, partant, ne faisant pas l’objet d’un masquage était élevé. Le DHS est invité à examiner ce point afin de comprendre pourquoi ce chiffre est élevé et de s’assurer que les données en question ne nécessitent plus d’être masquées, rendues anonymes ou effacées le plus rapidement possible. Il est positif que le DHS ait suivi la recommandation formulée dans le rapport de 2013 et oblige désormais tout utilisateur de ses services à motiver l’absence de masquage de données PNR.

Le DHS respecte l’article 11 de l’accord en ce qu’il ne refuse jamais à un passager le droit de consulter les données le concernant. Les délais de réponse se sont allongés depuis le dernier examen, réalisé en 2013, et le DHS devrait envisager la possibilité de les réduire.

Pour ce qui est de l’article 15, le DHS continue à aider et à encourager tous les transporteurs qui ne l’ont pas encore fait à développer leur capacité aux fins de l’application de la méthode «push». Bien que cela ait eu lieu en dehors de la période d’examen, il faut se féliciter du fait que le DHS a, depuis, étendu l’application de la méthode «push» à l’ensemble des compagnies aériennes qui relevaient du champ d’application de l’accord lors de l’examen conjoint.

En ce qui concerne les articles 16 et 18, le DHS devrait fournir davantage d’informations sur les données précises qui sont actuellement recueillies en vertu de ces dispositions, et être à même de fournir davantage d’informations sur les données qui ont été partagées avec d’autres autorités américaines et avec des autorités policières, répressives et judiciaires au sein de l’UE.

Enfin, dans la perspective des futurs examens et de l’évaluation, le DHS devrait veiller à ce que tous les faits et chiffres soient recueillis d’une manière uniforme afin de permettre des comparaisons directes.

Pour établir le présent rapport, l’équipe d'experts de l’UE a utilisé des informations contenues dans les réponses écrites du DHS au questionnaire de l’UE, des informations obtenues dans le cadre de ses discussions avec le personnel du DHS, des informations contenues dans le rapport précité du Bureau de la protection de la vie privée du DHS, ainsi que des informations figurant dans d’autres documents publics du DHS.

Processus de préparation de l’examen conjoint et du rapport qui en résulte

Préalablement à l’examen conjoint, le 8 mai 2015, la Commission a envoyé un questionnaire au DHS. Ce questionnaire contenait des questions précises sur la mise en œuvre de l’accord par le DHS, qui y a répondu par écrit le 12 juin 2015.

La Commission a également pris contact avec tous les États membres afin d’établir s’ils avaient eu des contacts avec les États-Unis au sujet des données PNR.

Les 1er et 2 juillet 2015, l’équipe d'experts de l’UE a dirigé la mission chargée de l’examen conjoint et s’est vu accorder l’accès aux locaux du DHS, et elle s’est rendue au Centre de ciblage national (National Targeting Center ou NTC) du DHS, qu'elle a eu la possibilité de voir fonctionner.

Le Bureau de la protection de la vie privée du DHS a publié son rapport sur l’utilisation des données PNR et leur transfert entre l’UE et les États-Unis le 26 juin 2015, ce qui n’a malheureusement pas laissé suffisamment de temps à l’équipe d'experts de l’UE pour analyser ce rapport dans son intégralité avant l'accomplissement de la mission. Elle l’a analysé ultérieurement et posé des questions complémentaires au Bureau de la protection de la vie privée afin d’achever le rapport sur l’examen conjoint.

À la suite de ladite mission, le DHS a fourni par écrit à l’équipe d'experts de l’UE les informations complémentaires qu’elle lui avait demandées à cette occasion. Ces informations ont ainsi permis de compléter la préparation du présent rapport.

Le DHS a confirmé, le 25 septembre 2015, que tous les transporteurs fournissant des données PNR dans le cadre de l’accord avaient développé la capacité nécessaire à l’application de la méthode «push» pour transférer ces données vers les États-Unis.

Le 21 janvier 2016, la Commission a présenté un projet de rapport aux autres membres de l’équipe d'experts de l’UE.

Après avoir adapté le projet de rapport pour tenir compte des observations formulées par ces derniers, la Commission a présenté un exemplaire du projet de rapport aux États-Unis au cours d’une réunion de hauts fonctionnaires qui s’est tenue le 17 mars 2016 à Washington. Elle entendait ainsi permettre au DHS de relever d’éventuelles inexactitudes ou informations ne pouvant être divulguées au grand public et de formuler des observations à cet égard.

Le DHS a ensuite fourni une version actualisée du questionnaire et des observations informelles sur le projet de rapport, qui ont été examinées par l’équipe d'experts de l’UE le 9 juin 2016.

Les discussions sur le projet de rapport se sont poursuivies entre la Commission et le DHS, notamment lors d’une autre réunion de hauts fonctionnaires qui s’est tenue le 14 juillet 2016 à Washington D.C. En août 2016, la Commission a informé le DHS qu’en cas de points de désaccord persistants avec le rapport ou s’il souhaitait y apporter des éléments de contexte supplémentaires, il avait la possibilité de formuler des observations écrites qui seraient annexées au rapport, conformément à l’article 23, paragraphe 3, de l’accord.

(1)

     Rapport de la Commission au Parlement européen et au Conseil et document de travail des services de la Commission sur l’examen conjoint de la mise en œuvre de l’Accord entre l'Union européenne et les États-Unis d'Amérique sur le traitement et le transfert de données des dossiers passagers (données PNR) au ministère américain de la sécurité intérieure, les 8 et 9 juillet 2013.

(2)

     Privacy Compliance Review (contrôle du respect de la vie privée) - Report on the use and transfer of passenger name records between the European Union and the United States (rapport sur l’utilisation des données des dossiers passagers et leur transfert entre l’Union européenne et les États-Unis), DHS Privacy Office, 26 juin 2015. http://www.dhs.gov/sites/default/files/publications/privacy_pcr_pnr_review_06262015.pdf.