«La présente lettre a pour objet d'exposer ce dont nous sommes convenus en ce qui concerne l'interprétation d'un certain nombre de dispositions de la déclaration d'engagement sur les données des dossiers passagers (PNR) diffusée le 11 mai 2004 par le ministère américain de la sécurité intérieure (DHS). Aux fins de la présente lettre, on entend par “DHS”, le Bureau des douanes et de la protection des frontières (Bureau of Customs and Border Protection), le Service de l'immigration et du contrôle douanier (U.S. Immigration and Customs Enforcement) et le Bureau du Secrétaire (Office of the Secretary), ainsi que les entités qui le soutiennent directement, mais pas d'autres composantes du DHS, tels que les Services de la citoyenneté et de l'immigration (Citizenship and Immigration Services), l'Administration de la sécurité des transports (Transportation Security Administration), les services secrets des États-Unis (United States Secret Service), la Garde côtière des États-Unis (United States Coast Guard) et l'Agence fédérale de gestion des urgences (Federal Emergency Management Agency). Nous attendons avec intérêt de réexaminer ces points et d'autres questions dans le cadre de futures discussions en vue de la conclusion d'un accord réciproque global fondé sur des principes communs.

Partage et divulgation des données PNR

La loi sur la réforme des services de renseignement et la prévention du terrorisme, de 2004, exigeait du Président des États-Unis qu'il mette en place un environnement de partage des informations “that facilitates the sharing of terrorism information” (qui facilite le partage des informations concernant le terrorisme). À la suite de l'adoption de cette loi, le Président a promulgué, le 25 octobre 2005, le décret no 13388 ordonnant que le DHS et les autres agences “promptly give access to …. terrorism information to the head of each other agency that has counterterrorism functions” (donnent rapidement accès aux ….informations sur le terrorisme au chef de chaque autre agence qui exerce des fonctions de lutte antiterroriste) et établissant un mécanisme de mise en œuvre de l'environnement de partage des informations.

Conformément au point 35 de la déclaration d'engagement (qui dispose que “No statement in these Undertakings shall impede the use or disclosure of PNR data in any criminal judicial proceedings or as otherwise required by law” (Aucune disposition de la présente déclaration d'engagement ne peut empêcher l'utilisation ou la divulgation de données de PNR dans le cadre d'une procédure pénale ou au titre d'autres exigences prévues par la loi) et autorise le DHS à “advise the European Commission regarding the passage of any U.S. legislation which materially affects the statements made in these Undertakings” (informer la Commission de l'adoption, par les autorités américaines, de toute législation ayant une incidence sur le fond des présents engagements)), les États-Unis ont, à présent, informé l'UE que la mise en œuvre de l'environnement de partage des informations exigée par la loi et le décret susmentionnés pouvait être gênée par certaines dispositions de la déclaration d'engagement qui restreignent le partage d'informations entre agences américaines, notamment tout ou partie des points 17, 28, 29, 30, 31 et 32.

Compte tenu de cette évolution et conformément à ce qui suit, il conviendrait d'interpréter et d'appliquer la déclaration d'engagement d'une façon qui ne gêne pas le partage des données PNR entre le DHS et les autres autorités du gouvernement américain chargées de prévenir ou de combattre le terrorisme et les crimes liés au terrorisme, conformément au point 3 de la déclaration d'engagement.

Le DHS facilitera, par conséquent, la divulgation (sans fournir d'accès électronique direct inconditionnel) des données PNR aux autorités du gouvernement américain qui exercent une fonction de lutte contre le terrorisme et ont besoin de ces données pour prévenir ou combattre le terrorisme et les crimes liés au terrorisme dans les affaires qu'elles examinent ou analysent (y compris lorsqu'il s'agit de menaces, de vols aériens, de personnes ou de lignes aériennes suscitant des préoccupations). Le DHS veillera à ce que ces autorités respectent des normes en matière de protection des données qui soient comparables à celles qui lui sont applicables, notamment en ce qui concerne la limitation de la finalité, la conservation des données, la divulgation ultérieure, l'information et la formation, les normes de sécurité et les sanctions pour usage illicite, ainsi que les procédures d'information, les plaintes et la rectification des données. Avant de procéder à une divulgation simplifiée de données, chaque autorité destinataire confirmera par écrit au DHS qu'elle respecte ces normes. Le DHS informera l'UE par écrit de la mise en œuvre d'une divulgation simplifiée de données et du respect des normes d'application, avant l'expiration de l'accord.

Accès rapide aux données PNR

Le point 14 limite le nombre de fois où des données PNR peuvent être extraites, mais n'impose aucune restriction de ce type à l'“exportation” de données vers le DHS. Le système d'exportation est considéré par l'UE comme étant moins intrusif du point de vue de la protection des données. Il ne permet, toutefois, pas aux compagnies aériennes de décider quelles données exporter, ni quand ou comment le faire. Le droit américain confère ce pouvoir de décision au DHS. Il est donc entendu que le DHS aura recours à un mode d'exportation des données PNR nécessaires qui lui permette d'évaluer efficacement les risques, en tenant compte de l'incidence économique sur les transporteurs aériens.

Pour ce qui est de la fixation du moment où doit avoir lieu la première exportation de données, le DHS dispose d'un pouvoir discrétionnaire pour se procurer des données PNR plus de 72 heures avant le départ d'un vol, à condition qu'il soit essentiel de prendre des mesures pour lutter contre une infraction visée au point 3. En outre, il peut arriver que le gouvernement américain dispose d'informations spécifiques concernant une menace particulière, mais, dans la plupart des cas, les renseignements disponibles revêtent un caractère moins définitif et peuvent nécessiter la mise en place d'un réseau plus vaste pour essayer de découvrir à la fois la nature de la menace et l'identité des personnes impliquées. Le point 14 est donc interprété comme autorisant un accès aux données PNR en dehors du délai de 72 heures lorsqu'il y a des raisons de penser qu'un accès rapide à ces données permettra de faire face plus facilement à une menace particulière contre un vol, une série de vols ou une ligne aérienne, ou à d'autres circonstances liées aux infractions visées au point 3 de la déclaration d'engagement. Dans l'exercice de ce pouvoir discrétionnaire, le DHS agira de façon judicieuse et proportionnée.

Le DHS mettra en place, dès que possible, un système d'exportation visant à transférer les données PNR conformément à la déclaration d'engagement et procédera, fin 2006 au plus tard, aux tests nécessaires pour au moins un système actuellement en cours d'élaboration, si la conception devant être testée satisfait aux exigences techniques définies par le DHS. Sans déroger à la déclaration d'engagement et afin de ne pas préjuger des besoins futurs éventuels du système, tout filtre utilisé dans un système d'exportation, ainsi que la conception du système lui-même, doivent permettre l'exportation vers le DHS de toutes les données PNR contenues dans les systèmes de réservation ou de contrôle des départs d'une compagnie aérienne dans des circonstances exceptionnelles dans lesquelles une plus grande divulgation est absolument nécessaire pour réagir à une menace pesant sur les intérêts vitaux de la personne concernée ou d'autres personnes.

Conservation des données

Plusieurs des principales utilisations dont font l'objet les données PNR contribuent à l'identification de terroristes potentiels. Même des données vieilles de plus de trois ans et demi peuvent être de la plus haute importance pour établir des liens entre personnes suspectées de terrorisme. L'accord aura expiré avant la date à laquelle le point 15 de la déclaration d'engagement exige la destruction des données. La question de savoir si et quand il convient de détruire les données PNR collectées conformément à la déclaration d'engagement sera examinée par les États-Unis et l'Union européenne dans le cadre de discussions futures.

Réexamen conjoint

Compte tenu de l'analyse conjointe approfondie dont a fait l'objet de la déclaration d'engagement en septembre 2005, et sachant que l'accord expirera avant le prochain réexamen conjoint, la question de savoir si et comment il convient de procéder à un réexamen conjoint en 2007 sera examinée lors des discussions relatives à un futur accord.

Éléments informatifs

La rubrique relative aux “grands voyageurs” (frequent flyers) peut comporter des adresses, des numéros de téléphone ou des adresses électroniques, toutes ces données, ainsi que le numéro d'identification du voyageur régulier, pouvant fournir des éléments de preuve de la plus haute importance concernant l'existence de liens avec des activités terroristes. De même, des informations concernant le nombre de bagages transportés par un passager peuvent être utiles dans le cadre de la lutte contre le terrorisme. La déclaration d'engagement autorise le DHS à ajouter des éléments informatifs, en sus des 34 précédemment inscrits à l'annexe A de la déclaration d'engagement, si de telles données sont nécessaires pour réaliser les objectifs énoncés au point 3.

Pour cette lettre, les États-Unis ont consulté l'UE, en vertu du point 7, au sujet du point 11 de l'annexe A en ce qui concerne la nécessité, pour le DHS, d'obtenir le numéro d'identification du “grand voyageur” et les éléments informatifs figurant à l'annexe A de la déclaration d'engagement, indépendamment de la provenance desdits éléments.

Intérêts vitaux de la personne concernée ou d'autres personnes

Conscient de l'importance potentielle des données PNR dans le cadre des maladies infectieuses et d'autres risques auxquels peuvent être exposés les passagers, le DHS rappelle que l'accès à de telles informations est autorisé par le point 34, qui prévoit que la déclaration d'engagement ne doit pas empêcher l'utilisation de données PNR aux fins de la protection des intérêts vitaux de la personne concernée ou d'autres personnes, ni entraver l'accès direct des autorités compétentes aux données PNR pour la réalisation des objectifs énoncés au point 3 de la déclaration d'engagement. La notion d'“intérêts vitaux” se rapporte à des circonstances dans lesquelles la vie de la personne concernée ou d'autres personnes est susceptible d'être menacée et inclut l'accès aux informations nécessaires pour veiller à ce qu'une personne susceptible d'être porteuse d'une maladie transmissible dangereuse ou d'avoir été exposée à une telle maladie puisse être facilement identifiée, localisée et informée dans les meilleurs délais. De telles données feront l'objet d'une protection correspondant à leur nature et seront utilisées strictement aux fins pour lesquelles l'accès à ces données a été accordé.