This document is an excerpt from the EUR-Lex website
Document 52021PC0016
Proposal for a COUNCIL DECISION on the position to be taken on behalf of the European Union in the International Civil Aviation Organization as regards Amendment 28 to Annex 9 Section D to the Convention on International Civil Aviation
Proposition de DÉCISION DU CONSEIL relative à la position à prendre, au nom de l’Union européenne, au sein de l’Organisation de l’aviation civile internationale en ce qui concerne l’amendement nº 28 de l’annexe 9, section D, de la convention relative à l’aviation civile internationale
Proposition de DÉCISION DU CONSEIL relative à la position à prendre, au nom de l’Union européenne, au sein de l’Organisation de l’aviation civile internationale en ce qui concerne l’amendement nº 28 de l’annexe 9, section D, de la convention relative à l’aviation civile internationale
COM/2021/16 final
COMMISSION EUROPÉENNE
Bruxelles, le 12.1.2021
COM(2021) 16 final
2021/0007(NLE)
Proposition de
DÉCISION DU CONSEIL
relative à la position à prendre, au nom de l’Union européenne, au sein de l’Organisation de l’aviation civile internationale en ce qui concerne l’amendement nº 28 de l’annexe 9, section D, de la convention relative à l’aviation civile internationale
EXPOSÉ DES MOTIFS
1.Objet de la proposition
La présente proposition concerne la décision établissant la position à prendre, au nom de l’Union européenne, au sein de l’Organisation de l’aviation civile internationale (OACI) en ce qui concerne l’amendement nº 28 de l’annexe 9 «Facilitation» de la convention relative à l’aviation civile internationale (la «convention de Chicago»). Le Conseil de l’OACI a adopté cet amendement le 23 juin 2020.
L’amendement nº 28 concerne les règles relatives au traitement des données des dossiers passagers (PNR), qui figurent dans la section D du chapitre 9 de l’annexe 9.
Les données PNR sont des données à caractère personnel des passagers collectées par les compagnies aériennes à des fins commerciales, contrairement à d’autres données relatives aux voyages collectées par elles au nom des autorités, telles que les informations préalables sur les passagers (données API). Partout dans le monde, les services répressifs utilisent de plus en plus les données PNR qui leur sont transférées par les compagnies aériennes pour lutter contre le terrorisme et d’autres formes graves de criminalité.
2.Contexte de la proposition
2.1.La convention relative à l’aviation civile internationale (la «convention de Chicago»)
La convention de Chicago vise à réglementer le transport aérien international. Entrée en vigueur le 4 avril 1947, elle a créé l’Organisation de l’aviation civile internationale (OACI).
Tous les États membres de l’UE sont parties à la convention de Chicago.
2.2.L’Organisation de l’aviation civile internationale
L’OACI est une institution spécialisée des Nations unies. Les objectifs de l’organisation sont d’élaborer les principes et les techniques de la navigation aérienne internationale et de promouvoir la planification et le développement du transport aérien international.
Le Conseil de l’OACI est un organe permanent de l’OACI, composé de 36 États contractants élus par l’assemblée de l’OACI pour une période de trois ans. Pour la période 2019-2022, sept États membres de l’UE sont représentés au sein du Conseil de l’OACI 1 .
Les fonctions obligatoires du Conseil de l’OACI, énumérées à l’article 54 de la convention de Chicago, comprennent l’adoption de normes et de pratiques recommandées internationales (également dénommées «SARP»), qui sont désignées comme annexes à la convention de Chicago. Les normes sont des spécifications pour lesquelles une application uniforme est jugée nécessaire, tandis que les pratiques recommandées ne sont pas obligatoires.
Le Conseil de l’OACI convoque également l’Assemblée, qui est l’organe souverain de l’OACI. L’Assemblée de l’OACI se réunit au moins une fois tous les trois ans et définit l’orientation politique de l’organisation pour la prochaine période triennale. La 40e session de l’Assemblée de l’OACI a eu lieu du 24 septembre au 4 octobre 2019 à Montréal, au Canada.
2.3.Le processus de mise à jour des normes et pratiques recommandées (SARP) de l’OACI en ce qui concerne les PNR
L’élaboration de nouvelles normes et pratiques recommandées (SARP) pour les PNR repose sur la résolution 2396 (2017) du Conseil de sécurité des Nations unies, adoptée le 21 décembre 2017 2 . Cette résolution impose aux États membres des Nations unies de «renforce[r] leur capacité de collecter, de traiter et d’analyser, dans le cadre des normes et pratiques recommandées de l’OACI, les données des dossiers passagers (PNR) et de veiller à ce que ces données soient communiquées à toutes les autorités nationales compétentes et utilisées par celles-ci, dans le plein respect des droits de l’homme et des libertés fondamentales [...]». Elle exhorte également l’OACI «à travailler avec ses États membres en vue d’établir une norme pour la collecte, l’utilisation, le traitement et la protection des données PNR».
L’élaboration de propositions de révision des SARP pour les PNR a été confiée à un groupe d’experts, le groupe de travail de l’OACI sur les PNR, mis en place par le comité du transport aérien (ATC) de l’OACI en mars 2019. Les travaux du groupe de travail se sont achevés en décembre 2019 et ont été examinés par le groupe d’experts de la facilitation de l’OACI en janvier 2020.
Les propositions du groupe d’experts de la facilitation de l’OACI ont été approuvées par l’ATC le 7 février 2020. Cette approbation a été suivie d’une consultation formelle des États membres de l’OACI au moyen de la lettre portant la référence 2020 14E adressée à ces États. La consultation des États s’est achevée le 15 mai 2020.
À la suite de cette consultation, le Secrétariat de l’OACI a analysé les réponses reçues des États et présenté une proposition à l’ATC. La proposition du Secrétariat est pratiquement identique aux conclusions de la réunion du groupe d’experts de la facilitation tenue en janvier 2020. De même, lors de sa réunion du 19 juin 2019, l’ATC a recommandé au Conseil de l’OACI d’adopter les SARP pour les PNR telles que présentées par le Secrétariat, moyennant des corrections mineures seulement.
Le 23 juin 2020, lors de la dixième réunion de sa 220e session, le Conseil de l’OACI a adopté l’amendement nº 28 de l’annexe 9 de la convention de Chicago. Comme indiqué ci-dessus, l’annexe 9 établit des normes internationales en matière de facilitation et son chapitre 9, section D, porte spécifiquement sur les PNR.
Le 17 juillet 2020, l’OACI a informé ses États membres de l’adoption de l’amendement nº 28 par une autre lettre adressée à ces États (réf. EC 6/3-20/71). L’amendement devait prendre effet le 30 octobre 2020, à moins qu’entre-temps la majorité des États n’ait fait connaître sa désapprobation, conformément à l’article 90 de la convention de Chicago. L’amendement sera applicable à partir du 28 février 2021. Les États membres de l’OACI peuvent toutefois notifier, au plus tard le 30 janvier 2020, toute différence entre leurs réglementations ou pratiques nationales et celles inscrites dans les normes établies par l’amendement nº 28 s’ils estiment que leurs réglementations ou pratiques nationales se différencient de l’une ou l’autre de ces normes. Cette notification doit être effectuée conformément à l’article 38 de la convention de Chicago et au mécanisme applicable pour la communication des différences.
2.4.Aspects relatifs aux PNR dans l’amendement nº 28 de l’annexe 9
S’il prend effet, l’amendement nº 28 remplacera les normes 9.22-9.22.1 et la pratique recommandée 9.23 par de nouvelles SARP 9.23-9.38. Ces SARP sont beaucoup plus détaillées que le cadre existant, englobant notamment des aspects liés à la limitation des finalités, à la surveillance, aux droits des personnes concernées, à la méthode de transmission, à la conservation des données, au traitement des données sensibles et aux relations entre les États contractants à la convention de Chicago en ce qui concerne les transferts de données PNR. Certaines des orientations non contraignantes fournies dans le document 9944 de l’OACI établissant des lignes directrices sur les données des dossiers passagers (PNR) 3 ont été adaptées aux nouvelles normes.
La norme 9.23 impose aux États contractants de mettre en place une capacité de collecter, d’utiliser, de traiter et de protéger les données des dossiers passagers (PNR) et de transposer les règles de mise en œuvre pratique de cette capacité dans un cadre juridique et administratif interne approprié conformément aux SARP. Le caractère obligatoire de la mise en place d’une capacité de traitement des PNR est conforme à la résolution 2396 (2017) du Conseil de sécurité des Nations unies.
La norme 9.24 impose aux États contractants, dans le plein respect des droits de l’homme et des libertés fondamentales, d’identifier clairement les données PNR qu’ils utiliseront dans le cadre de leurs opérations et d’établir les fins auxquelles les données PNR pourront être utilisées par les autorités. Ces fins ne devraient pas être plus étendues que le nécessiteront les buts visés, en particulier les objectifs de sécurité aux frontières visant à lutter contre le terrorisme et les formes graves de criminalité. En outre, la divulgation de données PNR au sein de l’État destinataire ou dans d’autres États contractants devrait être limitée aux autorités compétentes exerçant des fonctions pertinentes liées aux fins pour lesquelles les données PNR sont traitées. Ces autorités devraient également veiller à ce que soient accordées des protections comparables à celles qui sont offertes par l’autorité qui divulgue les données.
La norme 9.25 établit des exigences concernant la sécurité des données et les droits des personnes physiques à l’égard du traitement de leurs données PNR, y compris en ce qui concerne la non-discrimination, la fourniture d’informations, les voies de recours administratif et judiciaire, l’accès aux données et la possibilité de demander des corrections, des suppressions ou des annotations. La pratique recommandée 26 encourage les États à informer les personnes du traitement de leurs données PNR ainsi que de leurs droits et des recours qui leur sont ouverts.
La norme 9.27 impose aux États contractants de baser le traitement automatique des données PNR sur des critères objectifs, précis et fiables qui indiquent effectivement l’existence d’un risque, sans entraîner de discrimination illicite, et de s’abstenir de prendre des décisions qui auront des effets préjudiciables importants pour les intérêts juridiques des personnes sur la seule base du traitement automatique des données PNR.
En vertu de la norme 9.28, les États sont tenus de désigner une ou plusieurs autorités nationales compétentes ayant le pouvoir de superviser indépendamment la protection des données PNR et de déterminer si ses données sont collectées, utilisées, traitées et protégées dans le plein respect des droits de l’homme et des libertés fondamentales.
La norme 9.29 fait défense aux États d’exiger des compagnies aériennes qu’elles collectent des données PNR dont elles n’ont pas besoin dans le cadre de leurs procédures opérationnelles normales ou qu’elles filtrent les données avant leur transmission. Elle interdit également le traitement de données sensibles, c’est-à-dire de données PNR qui révèleront l’origine raciale ou ethnique d’une personne, ses opinions politiques, ses croyances religieuses ou philosophiques, son affiliation syndicale ou de données sur sa santé, sa vie sexuelle ou son orientation sexuelle sauf dans des circonstances exceptionnelles et immédiates pour protéger les intérêts vitaux du sujet des données ou d’une autre personne physique. Dans les cas où de tels renseignements sont transférés, les États sont tenus de supprimer ces données dès que possible.
La norme 9.30 fixe des obligations relatives à la conservation des données ainsi qu’à la dépersonnalisation et à la repersonnalisation des données PNR, en exigeant des États qu’ils ne conservent les données que pendant une période déterminée, définie dans leur cadre juridique et administratif, à savoir la période nécessaire et proportionnée aux fins pour lesquelles les données PNR seront utilisées, et qu’ils masquent les données après un délai déterminé. Après le masquage, la repersonnalisation ne devrait être possible que lorsque les données seront utilisées relativement à une affaire, une menace ou un risque pour les fins pour lesquelles les données PNR peuvent être traitées. La pratique recommandée 9.32 suggère une durée de conservation maximale de cinq ans et la pratique recommandée 9.33 propose que les données PNR soient dépersonnalisées dans un délai de six mois et au plus tard deux ans à compter de leur transfert par les compagnies aériennes.
La norme 9.33 établit que les données PNR devraient, en règle générale, être transmises au moyen de la méthode «push» portant le moins atteinte à la vie privée. Elle vise également à réduire au minimum les contraintes pesant sur les transporteurs aériens en limitant la possibilité pour les États d’imposer des amendes en cas d’erreurs de transmission dans certaines circonstances et en exigeant qu’ils limitent le nombre de fois où les mêmes données sont transmises par «push».
La norme 9.34, point a), impose aux États contractants de ne pas entraver ou empêcher le transfert de données PNR vers un autre État contractant qui respecte les nouvelles normes. Parallèlement, la norme 9.34, point b), prévoit que les États contractants de l’OACI conservent la possibilité d’introduire ou de maintenir des niveaux de protection plus élevés des données PNR, selon leur cadre juridique national, et de négocier des arrangements supplémentaires avec d’autres États, en particulier pour se conformer à leurs exigences juridiques internes, ou établir des dispositions plus détaillées relatives au traitement et au transfert des données PNR, à condition que ces mesures n’entrent pas par ailleurs en conflit avec les normes.
En vertu de la norme 9.35, les États contractants peuvent être appelés à démontrer, à tout État qui en fait la demande, qu’ils se conforment aux nouvelles normes. Lorsque les États contractants déterminent qu’ils doivent empêcher le transfert de données PNR ou infliger une amende à un transporteur aérien, la norme 9.36 leur impose d’agir avec transparence et avec l’intention de résoudre la situation.
La pratique recommandée 9.37 encourage les États à informer les autres États qui assurent des services aériens avec eux de tout changement important apporté à leur programme PNR, y compris en ce qui concerne le respect des SARP. La pratique recommandée 9.38 suggère que les États ne pénalisent pas les transporteurs aériens pendant qu’ils essaient de résoudre les différends relatifs au transfert de données PNR.
2.5.Cadre juridique applicable
Le traitement des données PNR constitue un instrument essentiel de la réponse commune de l’UE au terrorisme et aux formes graves de criminalité et une composante majeure de l’union de la sécurité. L’identification et le traçage des schémas de déplacement suspects par le traitement des données PNR afin de recueillir des éléments de preuve et, au besoin, de trouver les complices de criminels et de démanteler les réseaux criminels s’avèrent essentiels pour prévenir et détecter les infractions terroristes et les formes graves de criminalité, ainsi que pour mener les enquêtes et les poursuites en la matière. Dans le même temps, le traitement des données PNR constitue une ingérence dans les droits au respect de la vie privée et à la protection des données à caractère personnel consacrés aux articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (la «charte»). Conformément à l’article 52, paragraphe 1, de la charte, ce traitement doit donc être prévu par la loi, respecter le contenu essentiel des droits concernés et, dans le respect du principe de proportionnalité, ne peut être autorisé que s’il est nécessaire et répond effectivement à un objectif d’intérêt général de l’Union ou au besoin de protection des droits et libertés d’autrui. L’un de ces objectifs d’intérêt général est la protection des citoyens contre les menaces graves pour la sécurité.
Le 27 avril 2016, le Parlement européen et le Conseil ont adopté la directive (UE) 2016/681 relative à l’utilisation des données PNR pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière 4 . Cette directive permet aux autorités nationales d’exiger des transporteurs aériens qu’ils transfèrent des données PNR, tout en prévoyant des garanties pour les droits des personnes au respect de la vie privée et à la protection des données. Le délai imparti aux États membres pour transposer l’acte législatif en droit national était fixé au 25 mai 2018. L’examen 5 des deux premières années d’application de la directive, effectué en 2020, a montré que le traitement des données PNR avait produit des résultats tangibles dans la lutte contre le terrorisme et les formes graves de criminalité.
En avril 2016 également, le Parlement européen et le Conseil ont adopté de nouvelles règles de l’UE en matière de protection des données: le règlement (UE) 2016/679 (règlement général sur la protection des données ou RGPD 6 ) et la directive (UE) 2016/680 (sur la protection des données dans le domaine répressif 7 ). Le RGPD établit, entre autres, des règles relatives aux transferts internationaux de données à caractère personnel qui sont applicables à la transmission de données PNR par les transporteurs aériens. La directive (UE) 2016/680 régit le traitement des données à caractère personnel par les services répressifs et complète le régime prévu par la directive (UE) 2016/681 sur des aspects tels que les droits des personnes concernées et les transferts de données au cas par cas aux services répressifs des pays tiers.
Il existe actuellement deux accords internationaux entre l’UE et des pays tiers (à savoir l’Australie 8 et les États-Unis 9 ) sur le traitement et le transfert des données PNR. Le 26 juillet 2017, la Cour de justice de l’Union européenne a rendu un avis (ci-après l’«avis 1/15» 10 ) portant sur l’accord envisagé entre l’UE et le Canada sur le transfert et le traitement de données PNR, signé le 25 juin 2014. La Cour a estimé que l’accord ne pouvait pas être conclu sous sa forme prévue parce que certaines de ses dispositions étaient incompatibles avec les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel protégés par la charte. En particulier, la Cour a interprété les dispositions concernées de la charte comme exigeant des garanties particulières en ce qui concerne la surveillance par une autorité indépendante, le traitement des données sensibles, le traitement automatisé des données PNR et la non-discrimination, les finalités pour lesquelles les données PNR peuvent être traitées, ainsi que la conservation, l’utilisation, la divulgation et le transfert ultérieur des données PNR. À la suite de l’adoption de directives de négociation par le Conseil en décembre 2017, la Commission a entamé de nouvelles négociations sur les PNR avec le Canada en juin 2018.
Plus généralement, un nombre croissant de pays tiers collectent des données PNR auprès des transporteurs aériens et plusieurs d’entre eux ont pris contact avec la Commission ces dernières années pour manifester leur intérêt à conclure un accord international sur les PNR avec l’UE. En l’absence de base juridique autorisant des transferts de données, les transporteurs aériens sont confrontés à une situation de conflit de lois et risquent de se voir infliger des amendes et d’autres sanctions. Parallèlement, à la suite de la mise en œuvre de la directive (UE) 2016/681, les États membres de l’UE demandent aux transporteurs aériens des pays tiers de transférer des données PNR vers leurs unités d’informations passagers. Un certain nombre de pays tiers ont refusé d’effectuer de tels transferts – et d’autres ont menacé de refuser de le faire – par mesure de rétorsion en raison de l’impossibilité de recevoir des données PNR de l’UE, compromettant ainsi l’efficacité du mécanisme PNR de l’UE.
L’approche de l’UE à l’égard des transferts de données PNR vers des pays tiers remonte à 2010 11 et est antérieure à l’adoption de la directive (UE) 2016/681, à la réforme du cadre de l’UE en matière de protection des données et à l’avis 1/15 de la Cour de justice. La stratégie de l’UE pour l’union de la sécurité pour la période 2020-2025 envisage la révision de cette approche parmi les actions à mener à moyen terme 12 .
3.Position à prendre au nom de l’Union
3.1.Contexte
L’Union soutient résolument la mise en place de nouvelles normes internationales en matière de PNR et a activement contribué à l’élaboration des SARP énoncées dans l’amendement nº 28 de l’annexe 9.
L’objet de l’amendement nº 28 de la section D du chapitre 9 de l’annexe 9, concerne un domaine pour lequel l’Union dispose d’une compétence exclusive en vertu du dernier cas de figure prévu à l’article 3, paragraphe 2, du traité sur le fonctionnement de l’Union européenne (TFUE), car cet amendement est susceptible d’affecter les règles communes en matière de PNR et de protection des données.
En conséquence, tout au long des discussions au sein des instances préparatoires de l’OACI, l’approche des États membres de l’UE et de la Commission (en tant qu’observateur) a été guidée par les orientations figurant dans la décision (UE) 2019/2107 du Conseil du 28 novembre 2019 établissant la position de l’Union 13 . Cette position reflète les exigences du cadre juridique de l’UE en matière de PNR et de protection des données, notamment en vertu de la directive (UE) 2016/681, du règlement (UE) 2016/679, de la directive (UE) 2016/680, ainsi que de la charte telle qu’interprétée dans la jurisprudence pertinente de la Cour de justice, en particulier l’avis 1/15.
Le 25 mars 2020, le Conseil de l’UE a approuvé une autre position de l’Union 14 sur la réponse à la lettre portant la référence 2020 14E adressée aux États par l’OACI, par laquelle les États contractants étaient consultés sur le projet de SARP. Les travaux entrepris par l’OACI pour élaborer les SARP y étaient salués et l’importance de la protection des droits fondamentaux y était soulignée, y compris de la protection des données à caractère personnel, dans le cadre du traitement de données PNR. Par conséquent, le Conseil a présenté une proposition d’ordre rédactionnel visant à modifier ce qui était alors le projet de norme 9.34. Son objectif était de renforcer le texte de cette norme afin de garantir que la possibilité offerte aux États contractants d’établir des exigences plus strictes pour les transferts de données PNR soit clairement prise en compte dans les SARP.
Il convient de noter que, dans le cadre du processus de révision consécutif à la consultation des États, le Secrétariat de l’OACI n’a pas tenu compte des suggestions d’ordre rédactionnel communiquées par les États membres de l’UE, ni des modifications proposées par d’autres États contractants de l’OACI, et a retenu le projet de texte ayant résulté de la réunion du groupe d’experts de la facilitation tenue en janvier 2020. En revanche, le Secrétariat de l’OACI a proposé que «les États qui ont transmis des propositions de modification de la disposition soient invités à présenter leur(s) proposition(s) de modification du texte du paragraphe 9.34 lors de la prochaine réunion du groupe d’experts de la facilitation (FALP/12), prévue pour juillet 2021».
Le 23 juin 2020, lors de la réunion du Conseil de l’OACI au cours de laquelle l’amendement nº 28 a été adopté, les États membres de l’UE ont de nouveau souligné l’importance de trouver le nécessaire équilibre entre la disponibilité des données et la protection des données, et ils ont évoqué les positions susmentionnées de l’Union telles qu’elles ont été présentées au cours du processus de consultation des États. Ils ont également insisté sur l’importance de garantir des niveaux élevés de protection des données et ont explicitement fait référence aux obligations découlant du cadre juridique de l’UE. En particulier, les États membres de l’UE ont souligné l’importance des SARP, en particulier de la norme 9.34, en faisant valoir qu’elle devrait être interprétée de manière à permettre aux États de conserver la possibilité d’exiger d’autres États contractants qu’ils démontrent non seulement la conformité de leur cadre juridique avec les SARP, mais aussi le respect de normes de protection des données plus strictes, notamment pour rendre possibles les transferts de données PNR, lorsque leur cadre juridique national l’exige.
3.2.Position proposée
La présente proposition de décision du Conseil est nécessaire pour arrêter, dans le délai fixé par la lettre de l’OACI aux États portant la référence EC 6/3-20/71, la position à prendre, au nom de l’Union, en ce qui concerne l’adoption, par le Conseil de l’OACI, des nouvelles SARP pour les PNR.
Les nouvelles SARP relatives aux PNR énoncées dans l’amendement nº 28 (section D du chapitre 9 de l’annexe 9) suivent largement la position de l’Union consacrée par la décision (UE) 2019/2107 du Conseil. Elles établissent ainsi des garanties ambitieuses en matière de protection des données, notamment en ce qui concerne les droits des personnes concernées, la surveillance par une autorité indépendante, les données sensibles, le traitement automatisé des données PNR et la non-discrimination, les finalités pour lesquelles les données PNR peuvent être traitées, ainsi que la conservation, l’utilisation, la divulgation et le transfert ultérieur des données PNR.
De l’avis de la Commission, les SARP permettent la réalisation de progrès importants au niveau international en ce qui concerne la protection et l’utilisation des données PNR pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que les enquêtes et les poursuites en la matière. Par conséquent, aucune désapprobation ne devrait être notifiée par les États membres de l’UE au titre de l’article 90 de la convention de Chicago, en particulier parce qu’une telle notification compromettrait également les efforts visant à établir dans le monde entier des normes de protection des données PNR plus strictes en comparaison des règles actuelles de l’OACI relatives aux PNR.
Les SARP tiennent également compte, dans la norme 9.34, point b), du fait que les États contractants – tels que les États membres de l’UE – peuvent conserver la possibilité de maintenir ou d’introduire des niveaux de protection plus élevés, selon leur cadre juridique et administratif national, et de négocier des arrangements supplémentaires avec d’autres États pour établir des dispositions plus détaillées relatives au transfert des données PNR. En vertu du droit de l’Union, les transferts effectués par les compagnies aériennes de données PNR traitées dans l’UE à une autorité répressive d’un pays tiers doivent, en particulier, satisfaire aux exigences du chapitre V du RGPD et à celles découlant de la charte, comme précisé notamment dans l’avis 1/15 de la Cour. Ces exigences sont plus strictes que ce qu’exigent les SARP relatives aux PNR énoncées dans l’amendement nº 28.
Dans ce contexte, la norme 9.34, point a), impose aux États contractants de ne pas entraver ou empêcher le transfert de données PNR vers un autre État contractant qui respecte les SARP, et la formulation actuelle de la norme 9.34 n’est pas, du point de vue de l’Union européenne et de ses États membres, suffisamment claire en termes juridiques pour établir qu’il n’est pas interdit aux États membres de l’Union d’imposer lesdites exigences nonobstant la norme 9.34.
C’est pourquoi la Commission estime que les États membres devraient notifier une différence, au titre de l’article 38 de la convention de Chicago. Cette différence, exposée à l’annexe de la présente proposition de décision du Conseil, devrait rester strictement limitée à ce qui est nécessaire pour éviter tout doute quant à la prérogative des États membres de l’UE d’imposer des exigences plus strictes pour les transferts de données PNR vers des pays tiers et, par conséquent, d’empêcher ces transferts si ces exigences ne sont pas remplies.
4.Base juridique
4.1.Base juridique procédurale
4.1.1.Principes
L’article 218, paragraphe 9, TFUE prévoit des décisions établissant «les positions à prendre au nom de l’Union dans une instance créée par un accord, lorsque cette instance est appelée à adopter des actes ayant des effets juridiques, à l’exception des actes complétant ou modifiant le cadre institutionnel de l’accord».
L’article 218, paragraphe 9, du TFUE s’applique, que l’Union soit ou non membre de l’instance concernée ou partie à l’accord 15 .
La notion d’«actes ayant des effets juridiques» englobe les actes qui ont des effets juridiques en vertu des règles de droit international régissant l’instance en question. Elle englobe également des instruments auxquels le droit international ne confère aucun effet contraignant, mais qui ont «vocation à influencer de manière déterminante le contenu de la réglementation adoptée par le législateur de l’Union» 16 .
4.1.2.Application en l’espèce
L’OACI est une instance créée par un accord international, en l’occurrence par la convention de Chicago.
L’amendement nº 28 de l’annexe 9 de la convention de Chicago contient des normes qui sont, en principe, contraignantes pour les membres de l’OACI, dont font partie les États membres de l’Union, et constitue donc un acte ayant des effets juridiques. Certains de ces effets juridiques dépendent toutefois de la notification de différences et de la teneur de cette notification. Par conséquent, l’adoption d’une position de l’Union à l’égard d’une telle notification relève du champ d’application de l’article 218, paragraphe 9, du traité.
Les effets juridiques des normes et de toute différence devant être notifiée relèvent d’un domaine régi par des règles de l’Union, notamment la directive (UE) 2016/681, et des accords internationaux existants et futurs relatifs aux PNR entre l’UE et des pays tiers. Il en résulte que, conformément à l’article 3, paragraphe 2, du TFUE, l’Union dispose d’une compétence exclusive en la matière.
La notification de différences n’implique pas que le cadre institutionnel de la convention de Chicago soit complété ou modifié.
4.2.Base juridique matérielle
4.2.1.Principes
La base juridique matérielle d’une décision au titre de l’article 218, paragraphe 9, du TFUE dépend avant tout de l’objectif et du contenu de l’acte pour lequel une position est prise au nom de l’Union. Si l’acte poursuit deux finalités ou comporte deux composantes et si l’une de ces finalités ou de ces composantes est identifiable comme étant principale, tandis que l’autre n’est qu’accessoire, la décision au titre de l’article 218, paragraphe 9, du TFUE doit être fondée sur une seule base juridique matérielle, à savoir celle exigée par la finalité ou la composante principale ou prédominante.
Si l’acte poursuit simultanément plusieurs fins ou comporte plusieurs composantes qui sont liées de façon indissociable, sans que l’une soit accessoire par rapport à l’autre, la base juridique matérielle pour une décision au titre de l’article 218, paragraphe 9, du TFUE devra comporter, à titre exceptionnel, les diverses bases juridiques correspondantes.
4.2.2.Application en l’espèce
L’amendement nº 28 de l’annexe 9 de la convention de Chicago poursuit des objectifs et a des composantes dans les domaines de la protection des données et de la coopération policière. Ces aspects sont liés de façon indissociable, sans que l’un soit accessoire par rapport à l’autre.
En conséquence, la base juridique matérielle pour la décision proposée est constituée des dispositions suivantes: l’article 16, paragraphe 2, et l’article 87, paragraphe 2, point a), du TFUE.
4.3.Conclusion
La base juridique de la décision proposée devrait être l’article 16, paragraphe 2, et l’article 87, paragraphe 2, point a), du TFUE, en liaison avec l’article 218, paragraphe 9, du TFUE.
2021/0007 (NLE)
Proposition de
DÉCISION DU CONSEIL
relative à la position à prendre, au nom de l’Union européenne, au sein de l’Organisation de l’aviation civile internationale en ce qui concerne l’amendement nº 28 de l’annexe 9, section D, de la convention relative à l’aviation civile internationale
LE CONSEIL DE L’UNION EUROPÉENNE,
vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16, paragraphe 2, et son article 87, paragraphe 2, point a), en liaison avec son article 218, paragraphe 9,
vu la proposition de la Commission européenne,
considérant ce qui suit:
(1)La convention relative à l’aviation civile internationale (ci-après la «convention de Chicago»), qui réglemente le transport aérien international, est entrée en vigueur le 4 avril 1947. Elle a institué l’Organisation de l’aviation civile internationale (OACI).
(2)Les États membres de l’Union sont des États contractants de la convention de Chicago et des membres de l’OACI, tandis que l’Union dispose d’un statut d’observateur dans certains organes de l’OACI, y compris au sein de l’Assemblée et d’autres organismes techniques.
(3)En vertu de l’article 54, point l), de la convention de Chicago, le Conseil de l’OACI doit adopter des normes et pratiques recommandées internationales (SARP).
(4)Dans sa résolution 2396 (2017) du 21 décembre 2017 [ci-après la «résolution 2396 (2017)»], le Conseil de sécurité des Nations unies a décidé que les États membres des Nations unies devaient renforcer la capacité de collecter, de traiter et d’analyser, dans le cadre des SARP de l’OACI, les données des dossiers passagers (PNR) et veiller à ce que les données PNR soient utilisées et communiquées à toutes leurs autorités nationales compétentes, dans le plein respect des droits de l’homme et des libertés fondamentales à des fins de prévention et de détection des infractions terroristes et des voyages de terroristes, ainsi que d’enquêtes en la matière.
(5)La résolution 2396 (2017) exhorte également l’OACI à travailler avec ses États contractants en vue d’établir une norme pour la collecte, l’utilisation, le traitement et la protection des données PNR.
(6)Les SARP relatives aux PNR sont énoncées dans la section D du chapitre 9 de l’annexe 9 de la convention de Chicago. Elles sont complétées par des orientations supplémentaires, notamment le document 9944 de l’OACI établissant des lignes directrices sur les données PNR.
(7)Le 23 juin 2020, le Conseil de l’OACI a adopté l’amendement nº 28 de l’annexe 9 de la convention de Chicago, qui énonce, dans sa section D, un nouvel ensemble de SARP afin que ses États contractants mettent en place une capacité de collecter, d’utiliser, de traiter et de protéger les données PNR pour les vols à destination et en provenance de leur territoire, étayée par un cadre juridique et administratif approprié.
(8)Conformément à l’article 90 de la convention de Chicago, à moins qu’une majorité des États contractants n’ait fait connaître sa désapprobation, l’amendement nº 28 prendra effet trois mois après l’expiration du délai fixé pour faire connaître toute désapprobation.
(9)Conformément à l’article 38 de la convention de Chicago, tout État contractant qui estime ne pouvoir se conformer en tous points à l’une quelconque de ces normes ou procédures internationales, ou mettre ses propres règlements ou pratiques en complet accord avec une norme ou procédure internationale amendée, ou qui juge nécessaire d’adopter des règles ou des pratiques différant sur un point quelconque de celles qui sont établies par une norme internationale, notifie immédiatement à l’OACI les différences entre ses propres pratiques et celles qui sont établies par la norme internationale. La notification d’une telle différence a une incidence sur les effets juridiques des normes adoptées par l’OACI. La position de l’Union en la matière doit donc être établie conformément à l’article 218, paragraphe 9, du TFUE.
(10)L’amendement nº 28 a été notifié aux États contractants de l’OACI par la lettre adressée aux États portant la référence EC 6/3-20/71. Selon cette lettre aux États, toute différence par rapport à cet amendement ou toute conformité à celui-ci doivent être notifiées au plus tard le 30 janvier 2021.
(11)L’Union a adopté des règles communes sur les données PNR dans la directive (UE) 2016/681 du Parlement européen et du Conseil 17 , dont le champ d’application recoupe en grande partie le domaine couvert par les SARP figurant dans l’amendement nº 28. La directive (UE) 2016/681 comporte notamment un ensemble complet de règles visant à préserver les droits fondamentaux à la vie privée et à la protection des données à caractère personnel, dans le cadre du transfert de données PNR par les transporteurs aériens aux États membres et du traitement de ces données aux fins de la prévention et de la détection des infractions terroristes et des formes graves de criminalité, ainsi que des enquêtes et des poursuites en la matière.
(12)L’Union a également adopté une législation relative à la protection des données à caractère personnel, notamment le règlement (UE) 2016/679 du Parlement européen et du Conseil 18 et la directive(UE) 2016/680 du Parlement européen et du Conseil 19 , applicables au traitement des données PNR respectivement par les transporteurs aériens et d’autres opérateurs privés et les autorités compétentes, pour la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière, ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.
(13)En outre, deux accords internationaux sur le traitement et le transfert de données PNR sont actuellement en vigueur entre l’Union et des pays tiers, à savoir l’Australie 20 et les États-Unis 21 . Le 26 juillet 2017, la Cour de justice de l’Union européenne a rendu son avis 1/15 22 portant sur l’accord international envisagé entre l’UE et le Canada sur le transfert et le traitement de données PNR (2014).
(14)Les aspects liés aux PNR de la section D du chapitre 9 de l’annexe 9 de la convention de Chicago, telle que révisée par l’amendement nº 28, concernent un domaine pour lequel l’Union dispose d’une compétence exclusive en vertu de l’article 3, paragraphe 2, du traité sur le fonctionnement de l’Union européenne, étant donné que cet amendement est susceptible d’affecter les règles communes pour la protection et le traitement des données PNR.
(15)En conséquence, la position de l’Union en la matière, aux fins de l’élaboration de ce qui est devenu l’amendement nº 28, a été adoptée conformément à la décision (UE) 2019/2107 du Conseil 23 . Cette position reflète les exigences du droit de l’Union en matière de protection des données à caractère personnel et de transfert de données PNR vers des pays tiers, notamment en vertu du règlement (UE) 2016/679, de la directive (UE) 2016/680 et de la directive (UE) 2016/681, ainsi que celles découlant de la charte des droits fondamentaux de l’Union européenne telle qu’interprétée par la Cour de justice de l’Union européenne, en particulier dans son avis 1/15. Cette position était pertinente pour les discussions qui ont lieu au sein des instances préparatoires de l’OACI ainsi que pour le vote final au sein du Conseil de l’OACI.
(16)Les SARP énoncées dans l’amendement nº 28 suivent largement la position de l’Union consacrée par la décision (UE) 2019/2107 du Conseil et elles établissent des garanties ambitieuses en matière de protection des données, notamment en ce qui concerne les droits des personnes concernées, la surveillance par une autorité indépendante, les données sensibles, le traitement automatisé des données PNR et la non-discrimination, les finalités pour lesquelles les données PNR peuvent être traitées, ainsi que la conservation, l’utilisation, la divulgation et le transfert ultérieur des données PNR.
(17)Par conséquent, étant donné que l’amendement nº 28 permettrait la réalisation de progrès importants au niveau international en ce qui concerne les normes de protection des données PNR, aucune désapprobation ne devrait être notifiée par les États membres de l’Union au titre de l’article 90 de la convention de Chicago.
(18)Néanmoins, les exigences découlant du droit de l’Union en ce qui concerne le transfert et le traitement des données PNR sont plus strictes que les SARP figurant dans l’amendement nº 28.
(19)La norme 9.34, point a), impose aux États contractants de ne pas entraver ou empêcher le transfert de données PNR vers un autre État contractant qui respecte les SARP. Bien que, selon la norme 9.34, point b), les États contractants conservent la possibilité de maintenir ou d’introduire des niveaux de protection plus élevés, selon leur cadre juridique et administratif national, et de négocier des arrangements supplémentaires avec d’autres États pour établir des dispositions plus détaillées relatives au transfert des données PNR, le libellé actuel de la norme 9.34 n’est pas, du point de vue de l’Union et de ses États membres, suffisamment clair en termes juridiques pour garantir qu’il ne soit pas interdit aux États membres d’imposer lesdites exigences nonobstant la norme 9.34.
(20)Dans ces circonstances, afin de garantir le respect du droit de l’Union et des SARP, les États membres devraient notifier formellement une différence au sens de l’article 38 de la convention de Chicago. Cette différence devrait être limitée à la norme 9.34 de la section D du chapitre 9 de l’annexe 9, telle que révisée par l’amendement nº 28.
(21)Il convient donc d’établir la position de l’Union en conséquence.
(22)L’Irlande est liée par la directive (UE) 2016/681 et participe donc à l’adoption de la présente décision.
(23)Conformément aux articles 1er et 2 du protocole nº 22 sur la position du Danemark annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark ne participe pas à l’adoption de la présente décision et n’est pas lié par celle-ci ni soumis à son application.
(24)La position de l’Union devrait être exprimée par les États membres,
A ADOPTÉ LA PRÉSENTE DÉCISION:
Article premier
La position à prendre au nom de l’Union dans la réponse à la lettre aux États portant la référence EC 6/3-20/71, envoyée le 17 juillet 2020 par l’Organisation de l’aviation civile internationale (OACI), figure à l’annexe de la présente décision.
Article 2
La position visée à l’article 1er est exprimée par les États membres.
Article 3
Les États membres sont destinataires de la présente décision.
Fait à Bruxelles, le
Par le Conseil
Le président
COMMISSION EUROPÉENNE
Bruxelles, le 12.1.2021
COM(2021) 16 final
ANNEXE
de la
proposition de décision du Conseil
relative à la position à prendre, au nom de l’Union européenne, au sein de l’Organisation de l’aviation civile internationale en ce qui concerne l’amendement nº 28 de l’annexe 9, section D, de la convention relative à l’aviation civile international
ANNEXE
1. POSITION À PRENDRE
A) En ce qui concerne le point 6 a) de la lettre de l’Organisation de l’aviation civile internationale (OACI) aux États portant la référence EC 6/3-20/71:
La position à prendre au nom de l’Union en réponse à la lettre adressée aux États par l’OACI le 17 juillet 2020 est qu’aucune désapprobation ne devrait être communiquée en ce qui concerne l’amendement nº 28 de l’annexe 9, chapitre 9, section D, de la convention de Chicago.
A) En ce qui concerne le point 6 b) de la lettre de l’OACI aux États portant la référence EC 6/3-20/71:
La position à prendre au nom de l’Union en réponse à la lettre adressée aux États par l’OACI le 17 juillet 2020 est qu’une différence devrait être notifiée en ce qui concerne la norme 9.34 figurant à l’annexe 9, chapitre 9, section D, de la convention de Chicago.
2. EXPLICATION DÉTAILLÉE
La différence à notifier est exprimée dans la déclaration et le tableau suivants:
«La différence suivante existera le 28 février 2021 entre les règlements et/ou pratiques de [État membre] et les dispositions de l’annexe 9, y compris l’amendement nº 28:»
|
Disposition |
Détails de la différence |
Observations |
|
Amendement nº 28 de l’annexe 9, section D, norme 9.34 |
Catégorie A – «L’exigence d’un État contractant est plus stricte qu’une SARP ou va au-delà d’une SARP» La norme 9.34, point a), impose aux États contractants de ne pas entraver ou empêcher le transfert de données PNR vers un autre État contractant qui respecte les SARP. La norme 9.34, point b), tient compte du fait que les États contractants conservent la possibilité de maintenir ou d’introduire des niveaux de protection plus élevés, selon leur cadre juridique et administratif national, et de négocier des arrangements supplémentaires avec d’autres États pour établir, en particulier, des dispositions plus détaillées relatives au transfert des données PNR. En vertu du cadre juridique actuel de l’Union européenne, les États membres doivent se conformer à des exigences qui, à certains égards, sont plus strictes que celles énoncées dans l’amendement nº 28 en ce qui concerne les transferts de données PNR provenant de l’Union à des États contractants qui ne sont pas des États membres de l’Union européenne. Dans ce contexte, la formulation actuelle de la norme 9.34 n’est pas, du point de vue de l’Union européenne et de ses États membres 1 , suffisamment claire en termes juridiques pour établir qu’il n’est pas interdit aux États membres de l’Union d’imposer lesdites exigences nonobstant la norme 9.34. Pour cette raison, [État membre] estime que la présente différence devrait être notifiée conformément à l’article 38 de la convention de Chicago afin de lui permettre d’appliquer, aux transferts de données PNR vers des États contractants qui ne sont pas des États membres de l’Union européenne, des exigences juridiques qui sont, à certains égards, plus strictes, sans porter atteinte aux normes énoncées dans l’amendement nº 28. [État membre] confirme qu’à défaut de la possibilité de garantir le respect de ces exigences, les transferts effectués par les transporteurs aériens ne peuvent pas avoir lieu conformément au droit de l’Union. |
[État membre] tient à souligner l’importance des travaux menés par l’OACI et ses États contractants pour mettre à jour les normes et pratiques recommandées en matière de PNR et se félicite de l’adoption de l’amendement nº 28 par le Conseil de l’OACI en juin 2020. [État membre] souligne que la présente différence – classée dans la catégorie A conformément au point 2.1 de l’appendice E de la lettre aux États nº 2020-71 – vise à communiquer en toute transparence à l’OACI et à ses États contractants la manière dont les États membres de l’Union européenne mettront en œuvre les normes conformément au cadre juridique de l’Union européenne. En application du cadre juridique de l’Union européenne, le transfert de données PNR provenant de l’Union par des transporteurs aériens aux autorités compétentes d’un pays tiers est licite à la condition que certaines exigences, qui, à certains égards, sont plus strictes que celles énoncées dans l’amendement nº 28, soient respectées. Ces exigences découlent de la charte des droits fondamentaux de l’Union européenne, en particulier de ses articles 7, 8 et 52, tels qu’interprétés par la Cour de justice de l’Union européenne dans son avis 1/15 sur l’accord PNR envisagé avec le Canada, et du chapitre V du règlement (UE) 2016/679. |
Texte proposé par les États membres de l’Union européenne au Conseil de l’OACI en réponse à la lettre réf. EC 6/3-20/14, du 25 février 2020, concernant le projet d’amendement (en anglais uniquement):
«9.34: Contracting States shall:
(a) not inhibit or prevent the transfer of PNR data by an aircraft operator or other relevant party, nor sanction, impose penalties or create unreasonable obstacles on aircraft operators or other relevant parties that transfer PNR data to another Contracting State provided that Contracting States’ PNR data system is compliant with the Standards contained in Section D, Chapter 9 of Annex 9; and
but
(b) equally, retain the ability to introduce or maintain higher levels of protection of PNR data, in accordance with their legal and administrative framework, and to enter into additional arrangements with other Contracting States, in particular to: promote collective security; achieve higher levels of protection of PNR data, including on data transfers retention; or to establish more detailed provisions relating to the transfer of PNR data, provided those measures do not undermine otherwise conflict with the Standards contained in Section D, Chapter 9 of Annex 9.»
