DÉCISION 2009/16/PESC/JAI DU CONSEIL

du 30 novembre 2009

relative à la signature, au nom de l’Union européenne, de l’accord entre l’Union européenne et les États-Unis d’Amérique sur le traitement et le transfert de données de messagerie financière de l’Union européenne aux États-Unis d’Amérique aux fins du programme de surveillance du financement du terrorisme

LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur l’Union européenne, et notamment ses articles 24 et 38,

considérant ce qui suit:

DÉCIDE:

Article premier

La signature de l’accord entre l’Union européenne et les États-Unis d’Amérique sur le traitement et le transfert de données de messagerie financière de l’Union européenne aux États-Unis d’Amérique aux fins du programme de surveillance du financement du terrorisme est approuvée au nom de l’Union européenne, sous réserve de sa conclusion.

Le texte de l’accord est joint à la présente décision.

Article 2

Le président du Conseil est autorisé à désigner la ou les personnes habilitées à signer l’accord au nom de l’Union européenne, sous réserve de sa conclusion.

Article 3

En vertu de l’article 15 de l’accord, les dispositions de l’accord s’appliquent à titre provisoire en conformité avec la législation nationale existante à compter du 1er février 2010, dans l’attente de son entrée en vigueur. La déclaration relative à l’application provisoire figurant en annexe sera faite au moment de la signature.

ANNEXE

TRADUCTION

ACCORD

entre l’Union européenne et les États-Unis d’Amérique sur le traitement et le transfert de données de messagerie financière de l’Union européenne aux États-Unis d’Amérique aux fins du programme de surveillance du financement du terrorisme

L’UNION EUROPÉENNE,

d’une part, et

LES ÉTATS-UNIS D’AMÉRIQUE,

d’autre part,

dénommés ci-après «les parties»,

DÉSIRANT prévenir et combattre le terrorisme et son financement, notamment en procédant à un échange mutuel d’informations, de façon à protéger leurs sociétés démocratiques respectives et les valeurs, les droits et les libertés qui sont les leurs;

ASPIRANT à renforcer et à encourager la coopération entre les parties dans l’esprit du partenariat transatlantique;

RAPPELANT les conventions des Nations unies pour la lutte contre le terrorisme et son financement, ainsi que les résolutions pertinentes du Conseil de sécurité dans le domaine de la lutte contre le terrorisme, en particulier sa résolution 1373 (2001);

RECONNAISSANT que le programme de surveillance du financement du terrorisme (TFTP) mis en place par le département du Trésor des États-Unis a contribué à identifier et à arrêter des terroristes et leurs financiers, et qu’il a permis d’obtenir de nombreux indices qui ont été communiqués à des fins de lutte contre le terrorisme aux autorités compétentes du monde entier et présentent un intérêt particulier pour les États membres de l’Union européenne («les États membres»);

PRENANT ACTE de l’importance que revêt le TFTP dans la prévention du terrorisme et la lutte contre ce phénomène et son financement dans l’Union européenne et ailleurs, ainsi que du rôle important joué par l’Union européenne pour ce qui est de veiller à ce que les fournisseurs désignés de services de messagerie financière internationale mettent à disposition les données de messagerie financière stockées sur le territoire de l’Union européenne qui sont nécessaires pour prévenir et combattre le terrorisme et son financement, sous réserve du strict respect des garanties relatives au respect de la vie privée et à la protection des données à caractère personnel;

AYANT À L’ESPRIT l’article 6, paragraphe 2, du traité sur l’Union européenne concernant le respect des droits fondamentaux, et les principes de proportionnalité et de nécessité pour ce qui est du droit au respect de la vie privée et de la protection des données à caractère personnel, prévus par l’article 8, paragraphe 2, de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales, la convention no 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et les articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne;

INSISTANT sur les valeurs communes qui régissent le respect de la vie privée et la protection des données à caractère personnel dans l’Union européenne et aux États-Unis d’Amérique («les États-Unis»), notamment l’importance que les deux parties accordent au traitement équitable et au droit de former un recours effectif en cas d’irrégularité commise par les autorités;

PRENANT ACTE des contrôles rigoureux et des garanties appliqués par le département du Trésor des États-Unis pour le traitement, l’utilisation et la communication de données de messagerie financière dans le cadre du TFTP, tels qu’ils sont décrits dans les observations du département du Trésor des États-Unis publiées au Journal officiel de l’Union européenne le 20 juillet 2007 et au Registre fédéral des États-Unis le 23 octobre 2007, qui témoignent de la coopération en cours entre les États-Unis et l’Union européenne dans le cadre de la lutte contre le terrorisme international;

RAPPELANT que, pour pouvoir exercer effectivement ses droits, toute personne, indépendamment de sa nationalité, a la possibilité d’introduire une réclamation auprès d’une autorité indépendante compétente en matière de protection des données, auprès d’une autre autorité similaire, ou devant une juridiction ou un tribunal indépendant et impartial, afin de former un recours effectif;

CONSCIENT de ce qu’un droit de recours administratif ou juridictionnel approprié est prévu par la législation des États-Unis applicable en cas de mauvais usage de données à caractère personnel, entre autres par la loi sur les procédures administratives (ADMINISTRATIVE PROCEDURE ACT) de 1946 (5 USC 701 et suivants), la loi sur l’inspecteur général (INSPECTOR GENERAL ACT) de 1978 (5 USC App.), la loi intitulée «Implementing Recommendations of the 9/11 Commission Act of 2007» (42 USC 2000ee et suivants), la loi sur la fraude informatique (Computer Fraud and Abuse Act) (18 USC 1030), et la loi sur la liberté de l’information (Freedom of Information Act) (5 USC 552), dans leur version modifiée;

RAPPELANT que, au sein de l’Union européenne, la législation oblige les établissements financiers et les fournisseurs de services de messagerie financière à informer leurs clients que des données à caractère personnel figurant dans des dossiers de transactions financières peuvent être transférées à des autorités publiques d’États membres ou de pays tiers à des fins répressives;

AFFIRMANT que le présent accord ne constitue nullement un précédent pour tout arrangement futur entre les États-Unis et l’Union européenne, ou entre l’une des parties et tout État, concernant le traitement et le transfert de données de messagerie financière ou de tout autre type de données, ou concernant la protection des données;

RECONNAISSANT que le présent accord ne déroge pas à la compétence qu’ont les autorités des États membres responsables de la protection des données de protéger les particuliers à l’égard du traitement de leurs données à caractère personnel; et

AFFIRMANT en outre que le présent accord ne porte pas atteinte aux autres accords ou arrangements en matière répressive ou en matière d’échange d’informations conclus entre les parties, ou entre les États-Unis et les États membres,

SONT CONVENUS DES DISPOSITIONS QUI SUIVENT:

Article 1

Objet de l’accord

1.   Le présent accord a pour objet, dans le respect intégral de la vie privée, de la protection des données à caractère personnel, et d’autres conditions énoncées dans le présent accord, de garantir que:

2.   Les États-Unis, l’Union européenne et ses États membres prennent toutes les mesures appropriées relevant de leur compétence nécessaires à l’application des dispositions du présent accord et à la réalisation de son objectif.

Article 2

Champ d’application

Comportement lié au terrorisme ou au financement du terrorisme

Le présent accord s’applique à l’obtention et à l’utilisation de données de messagerie financière et de données connexes aux fins de la prévention, de la détection, des enquêtes ou des poursuites portant sur:

Article 3

Garantir la fourniture des données par les fournisseurs désignés

L’Union européenne veille, conformément au présent accord, à ce que des entités désignées de concert par les parties comme fournisseurs de services de messagerie financière internationale («fournisseurs désignés») en vertu du présent accord transmettent au département du Trésor des États-Unis les données de messagerie financière et les données connexes demandées par celui-ci aux fins de la prévention et de la détection du terrorisme ou de son financement, ainsi que des enquêtes ou des poursuites en la matière («données fournies»).

Article 4

Demandes des États-Unis visant à obtenir des données des fournisseurs désignés

1.   Conformément à l’article 8 de l’accord conclu entre l’Union européenne et les États-Unis d’Amérique en matière d’entraide judiciaire, signé à Washington le 25 juin 2003, et à l’instrument bilatéral conclu dans le domaine de l’entraide judiciaire entre les États-Unis et l’État membre dans lequel le fournisseur désigné est établi ou dans lequel il stocke les données demandées, le département du Trésor des États-Unis envoie une demande fondée sur une enquête en cours concernant un comportement spécifique visé à l’article 2 qui a été perpétré ou dont il y a lieu de penser, sur la base d’informations ou éléments de preuve préexistants, qu’il pourrait être perpétré. À cette fin, le département du Trésor des États-Unis est considéré comme une autorité administrative pouvant recourir à l’entraide.

2.   La demande recense aussi clairement que possible les données stockées par un fournisseur désigné sur le territoire de l’Union européenne qui sont nécessaires à cette fin. Les données peuvent comprendre des informations d’identification sur l’émetteur et/ou le bénéficiaire de l’opération, comme le nom, le numéro de compte, l’adresse, le numéro national d’identification, et d’autres données à caractère personnel relatives à des messages financiers.

La demande justifie en quoi les données sont nécessaires, et est adaptée aussi strictement que possible pour réduire au minimum le volume des données demandées, compte tenu des analyses des éléments géographiques, de la menace et de la vulnérabilité.

3.   La demande est transmise par le ministère de la justice des États-Unis à l’autorité centrale de l’État membre dans lequel le fournisseur désigné est établi ou dans lequel il stocke les données demandées.

4.   Les États-Unis transmettent simultanément une copie de la demande à l’autorité centrale de l’autre État membre. Ils transmettent aussi simultanément une copie de la demande aux membres nationaux d’Eurojust des États membres en question.

5.   Dès réception de la demande motivée conformément au paragraphe 2, l’autorité centrale de l’État membre requis vérifie que la demande est conforme aux dispositions du présent accord et aux dispositions applicables de l’accord bilatéral conclu en matière d’entraide judiciaire. Après cette vérification, la demande est transmise pour exécution à l’autorité compétente en application de la législation de l’État membre requis.

Si la demande a été transmise à l’autorité centrale de l’État membre dans lequel le fournisseur désigné est établi, l’État membre dans lequel les données sont stockées apporte son concours à l’exécution de la demande.

La mesure demandée est exécutée d’urgence.

6.   Si, pour des raisons techniques, le fournisseur désigné n’est pas en mesure d’identifier et de produire les données spécifiques qui répondraient à la demande, toutes les données potentiellement intéressantes sont transmises en masse, sous réserve des dispositions de l’article 5, paragraphe 2, à l’autorité compétente de l’État membre requis.

7.   Les données sont transférées entre les autorités désignées de l’État membre requis et celles des États-Unis.

8.   L’Union européenne veille à ce que les fournisseurs désignés gardent un registre détaillé de toutes les données transmises à l’autorité compétente de l’État membre requis aux fins du présent accord.

9.   Les données qui ont été transmises légalement conformément aux dispositions du présent article peuvent faire l’objet d’une recherche aux fins d’autres enquêtes portant sur les types de comportement visés à l’article 2, dans le plein respect de l’article 5 du présent accord.

Article 5

Garanties applicables au traitement des données fournies

1.   Le département du Trésor des États-Unis prend les mesures nécessaires pour que les données fournies soient traitées conformément aux dispositions du présent accord.

2.   Le TFTP ne prévoit pas et ne doit pas prévoir l’exploration de données ni aucun autre type de profilage algorithmique ou informatisé, ou de filtrage. Le département du Trésor des États-Unis veille à la protection des données à caractère personnel, par le respect des garanties énoncées ci-après, qu’il convient d’appliquer sans discrimination, notamment fondée sur la nationalité ou le pays de résidence:

Article 6

Adéquation

Sous réserve du respect permanent des engagements pris dans le présent accord en matière de respect de la vie privée et de protection des données à caractère personnel, le département du Trésor des États-Unis est réputé assurer un niveau adéquat de protection des données lors du traitement des données de messagerie financière et des données connexes, transférées de l’Union européenne aux États-Unis aux fins du présent accord.

Article 7

Communication spontanée d’informations

1.   Le département du Trésor des États-Unis veille à mettre le plus rapidement possible à la disposition des services répressifs, des organismes chargés de la sécurité publique ou des autorités chargées de la lutte contre le terrorisme des États membres concernés ainsi que d’Europol, le cas échéant, dans les limites de son mandat, toute information obtenue dans le cadre du TFTP qui pourrait contribuer, dans l’Union européenne, à la prévention et à la détection du terrorisme ou de son financement, ainsi qu’aux enquêtes ou aux poursuites en la matière. Toute information obtenue à la suite de cela et susceptible de contribuer, aux États-Unis, à la prévention et à la détection du terrorisme ou de son financement, ainsi qu’aux enquêtes ou aux poursuites en la matière sera communiquée en retour aux États-Unis sur une base réciproque.

2.   Afin de contribuer à un échange d’informations efficace, Europol est habilité à désigner un officier de liaison auprès du département du Trésor des États-Unis. Les parties arrêtent conjointement les modalités relatives au statut et aux fonctions de l’officier de liaison.

Article 8

Demandes de recherches TFTP émanant de l’Union européenne

Lorsqu’un service répressif, un organisme chargé de la sécurité publique ou une autorité chargée de la lutte contre le terrorisme d’un État membre, Europol ou Eurojust établit qu’il y a lieu de penser qu’une personne ou une entité a un lien avec le terrorisme au sens des articles 1er à 4 de la décision-cadre 2002/475/JAI du Conseil modifiée par la décision-cadre 2008/919/JAI du Conseil, il ou elle peut demander une recherche d’informations pertinentes obtenues dans le cadre du TFTP. Le département du Trésor des États-Unis effectue sans délai une recherche conformément à l’article 5 et fournit les informations pertinentes en réponse à cette demande.

Article 9

Coopération avec un futur système équivalent de l’Union européenne

Dans l’hypothèse où serait mis en œuvre dans l’Union européenne ou dans un ou plusieurs de ses États membres un système européen équivalent au programme de surveillance du financement du terrorisme américain, nécessitant que soient mises à la disposition de l’Union européenne des données de messagerie financière stockées aux États-Unis, le département du Trésor des États-Unis s’efforce activement d’obtenir, sur la base de la réciprocité et de garanties appropriées, la coopération de tout fournisseur de services de messagerie financière internationale concerné établi sur le territoire des États-Unis.

Article 10

Réexamen conjoint

1.   Les parties réexaminent conjointement, à la demande de l’une d’elles et en tout état de cause, après un délai de six (6) mois, la mise en œuvre du présent accord en s’attachant tout particulièrement à vérifier l’application des dispositions relatives au respect de la vie privée, à la protection des données à caractère personnel et à la réciprocité énoncées dans le présent accord. Ce réexamen comporte une évaluation de la proportionnalité des données fournies, compte tenu de la valeur de ces données aux fins de la prévention et de la détection du terrorisme ou de son financement, ainsi que des enquêtes ou des poursuites menées en la matière.

2.   Dans le cadre de ce réexamen, l’Union européenne est représentée par la présidence du Conseil de l’Union européenne, la Commission européenne et deux représentants des autorités des États membres chargées de la protection des données, dont l’un au moins est issu d’un État membre où un fournisseur désigné est établi. Les États-Unis sont représentés par le département du Trésor.

3.   Aux fins du réexamen, le département du Trésor des États-Unis garantit l’accès aux documents et systèmes pertinents ainsi qu’au personnel compétent et à des données précises relatives au nombre de messages financiers consultés et au nombre d’occasions où des indices ont été communiqués. Les parties déterminent conjointement les modalités de ce réexamen.

Article 11

Recours

1.   Toute personne a le droit d’obtenir, sur demande formulée à des intervalles raisonnables, sans contrainte et sans délais ni frais excessifs, la confirmation de son autorité chargée de la protection des données que toutes les vérifications nécessaires ont bien été menées au sein de l’Union européenne pour s’assurer que ses droits en matière de protection des données ont été respectés conformément au présent accord et, en particulier, qu’aucun traitement de données à caractère personnel la concernant n’a eu lieu en violation du présent accord. Ce droit peut être subordonné aux mesures nécessaires et proportionnées qui s’appliquent en vertu de la législation nationale, y compris pour protéger la sécurité publique ou la sécurité nationale, ou pour éviter de porter atteinte à la prévention, la détection, la recherche et la poursuite d’infractions pénales, tout en tenant dûment compte de l’intérêt légitime de la personne concernée.

2.   Les parties prennent toutes les dispositions raisonnables pour garantir que le département du Trésor des États-Unis et tout État membre concerné s’informent mutuellement sans délai, se consultent mutuellement et consultent les parties, le cas échéant, lorsqu’ils estiment que des données à caractère personnel ont été traitées en violation du présent accord.

3.   Toute personne estimant que des données à caractère personnel la concernant ont fait l’objet d’un traitement en violation du présent accord dispose d’un droit de recours administratif ou juridictionnel effectif en application de la législation de l’Union européenne, de ses États membres et des États-Unis, respectivement.

Article 12

Consultation

1.   Si nécessaire, les parties se consultent pour permettre une utilisation aussi efficace que possible du présent accord, y compris pour favoriser le règlement de tout différend concernant son interprétation ou son application.

2.   Les parties prennent les mesures nécessaires pour ne pas imposer à l’autre partie une charge excessive par l’application du présent accord. S’il en résulte néanmoins une charge excessive, les parties engagent immédiatement des consultations afin de faciliter l’application du présent accord, y compris en prenant les mesures qui s’imposeraient pour réduire la charge existante et pour réduire cette charge à l’avenir.

3.   Les parties se consultent immédiatement dans le cas où un tiers, y compris une autorité d’un autre pays, conteste tout aspect relatif aux effets ou à la mise en œuvre du présent accord ou forme un recours juridique à cet égard.

Article 13

Non-dérogation

Le présent accord n’a pas pour objet de déroger à la législation des États-Unis ou de l’Union européenne ou de ses États membres, ni de la modifier. Il ne crée ni ne confère aucun droit ou avantage pour toute autre personne ou entité, privée ou publique.

Article 14

Dénonciation

1.   Chaque partie peut à tout moment suspendre ou dénoncer le présent accord en adressant par la voie diplomatique une notification à l’autre partie. La suspension prend effet dix (10) jours à compter de la date de réception de ladite notification par l’autre partie. La dénonciation prend effet trente (30) jours à compter de la date de réception de ladite notification par l’autre partie.

2.   Nonobstant la suspension ou la dénonciation du présent accord, toutes les données détenues par le département du Trésor des États-Unis en vertu dudit accord continuent à être traitées en conformité avec ses dispositions.

Article 15

Dispositions finales

1.   Le présent accord entre en vigueur le premier jour du mois suivant la date à laquelle les parties ont échangé les notifications indiquant qu’elles ont accompli les procédures internes à cet effet.

2.   Le présent accord est applicable à titre provisoire à compter du 1er février 2010, jusqu’à son entrée en vigueur, sous réserve du paragraphe 3.

3.   Sauf dénonciation antérieure conformément à l’article 14 ou par accord entre les parties, le présent accord expire et cesse de produire des effets le 31 octobre 2010.

4.   Dès l’entrée en vigueur du traité de Lisbonne, les parties s’efforcent de conclure un accord à long terme pour succéder au présent accord.

5.   Fait à Bruxelles, le 30 novembre 2009, en double exemplaire en langue anglaise. Le présent accord est également établi en langues allemande, bulgare, danoise, espagnole, estonienne, finnoise, française, grecque, hongroise, italienne, lettone, lituanienne, maltaise, néerlandaise, polonaise, portugaise, roumaine, slovaque, slovène, suédoise et tchèque. Une fois approuvées par les deux parties, ces versions linguistiques sont considérées comme faisant également foi.