Décision (UE) 2007/551 (version consolidée)

«Dans l'attente de son entrée en vigueur, le présent accord, qui ne déroge pas à la législation de l'UE ou de ses États membres ni ne la modifie, sera mis en œuvre à titre provisoire et de bonne foi par les États membres dans le cadre de leur législation nationale actuelle.»

Avis aux lecteurs: «À l'exception de la version en langue anglaise, les versions linguistiques de l'accord n'ont pas encore été approuvées par les parties. Une fois qu'elles auront été approuvées, toutes les versions feront également foi.»

TRADUCTION

TRADUCTION

M. Luis Amado

Président du Conseil de l'Union européenne

Rue de la Loi 175

B-1048 Bruxelles

En réponse à la demande de renseignements de l'Union européenne et afin de réaffirmer l'importance que revêt pour le gouvernement des États-Unis la protection de la vie privée, la présente lettre vise à expliquer la manière dont le ministère américain de la sécurité intérieure (Department of Homeland Security, ci-après dénommé «DHS») assure la collecte, l'utilisation et le stockage des données des dossiers passagers (Passenger Name Record, ci-après dénommé «PNR»). Aucune des mesures exposées dans la présente lettre ne crée ni ne confère aucun droit ou avantage sur toute personne ou entité, privée ou publique, ni aucune voie de droit autre que celle prévue dans l'accord entre l'Union européenne et les États-Unis sur le traitement et le transfert de données PNR par les transporteurs aériens signé en juillet 2007 (ci-après dénommé «l'accord»). En revanche, cette lettre présente les assurances données par le DHS et expose les mesures que le DHS applique aux données PNR issues des vols entre les États-Unis et l'Union européenne (ci-après dénommées «données PNR de l'UE») en vertu de la législation américaine.

I. Fins auxquelles les données PNR sont utilisées

Le DHS utilise les données PNR de l'UE uniquement aux fins: 1) de prévenir et de combattre le terrorisme et les délits qui y sont liés; 2) de prévenir et de combattre d'autres délits graves de nature transnationale, y compris la criminalité organisée; 3) d'empêcher que des personnes se soustraient aux mandats et aux mesures de détention provisoire émis à leur encontre concernant les infractions décrites ci-dessus. Les données PNR peuvent être utilisées, le cas échéant, pour la protection des intérêts vitaux de la personne concernée ou d'autres personnes, ou dans le cadre d'une procédure pénale ou de toute autre manière requise par la loi. Le DHS informera l'UE de l'adoption de toute législation américaine qui affecte matériellement les déclarations faites dans la présente lettre.

II. Partage de données PNR

Le DHS partage les données PNR de l'UE uniquement aux fins énoncées au point I.

Le DHS traite les données PNR de l'UE comme des données sensibles et confidentielles conformément aux lois américaines et communique, s'il le juge utile, les données PNR uniquement aux autres autorités gouvernementales américaines chargées du maintien de l'ordre, de la sécurité publique ou de la lutte contre le terrorisme, pour servir dans le cadre des affaires relatives à la lutte contre le terrorisme, à la criminalité transnationale et à la sécurité publique (y compris lorsqu'il s'agit de menaces, de vols aériens, de personnes ou de lignes aériennes suscitant des préoccupations) qu'elles examinent ou analysent, conformément à la loi et en application des engagements écrits et de la législation américaine sur l'échange d'informations entre les autorités gouvernementales des États-Unis. L'accès est strictement et soigneusement limité aux affaires susmentionnées en fonction de leur nature.

Les données PNR de l'UE ne sont échangées avec d'autres autorités gouvernementales de pays tiers qu'après examen de l'utilisation ou des utilisations prévues par le destinataire et de sa capacité à assurer la protection des informations. En dehors des cas d'urgence, ces échanges de données se font en vertu d'engagements exprès entre les parties qui comprennent des dispositions de protection des données à caractère personnel comparables à celles qu'applique le DHS aux données PNR de l'UE visées au deuxième alinéa du présent point.

III. Types d'informations collectées

Le DHS peut obtenir la plupart des éléments informatifs contenus dans les données PNR en examinant le billet d'avion d'une personne et d'autres documents de voyage en vertu du pouvoir de contrôle aux frontières dont il est normalement investi, mais la capacité à recevoir ces données par voie électronique augmente de manière considérable la capacité du DHS à axer ses ressources sur les préoccupations de risque élevé, facilitant et préservant ainsi les passagers de bonne foi.

Types de données PNR de l'UE collectées

1.	Code repère du dossier PNR (record locator code)

2.	Date de réservation/d'émission du billet

3.	Date(s) prévue(s) du voyage

4.

Nom(s)

5.	Informations disponibles sur «les grands voyageurs» et les programmes de fidélisation (c'est-à-dire billets gratuits, surclassement, etc.)

6.	Autres noms figurant dans le PNR, y compris nombre de voyageurs dans le PNR

7.	Toutes les informations de contact disponibles (y compris les informations sur la source)

8.	Toutes les informations disponibles relatives au paiement/à la facturation disponibles (les autres détails de l'opération liés à la carte de crédit ou au compte et n'ayant pas de lien avec l'opération relative au voyage non inclus)

9.	Itinéraire de voyage pour le PNR spécifique

10.	Agence de voyages/agent de voyages

11.	Informations sur le partage de codes

12.	Informations «PNR scindé/divisé»

13.	Statut du voyageur (y compris confirmations et statut d'enregistrement)

14.	Informations sur l'établissement des billets, y compris le numéro du billet, billets aller simple et données Automated Ticketing Fare Quote (prix du billet)

15.	Toutes les informations relatives aux bagages

16.	Informations relatives au siège, y compris numéro du siège occupé

17.	Remarques générales, y compris données OSI, SSI et SSR

18.	Toutes les informations APIS recueillies

19.	Historique de tous les changements apportés au PNR assortis des numéros de rubriques 1 à 18

Dans la mesure où des données PNR de l'UE sensibles (à savoir les données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ainsi que les données relatives à la santé ou à la vie sexuelle de la personne), telles que précisées par les codes et les termes PNR que le DHS a déterminés en consultation avec la Commission européenne, sont incluses dans les types susmentionnés de données PNR de l'UE, le DHS a recours à un système automatisé qui filtre ces codes et termes PNR sensibles et n'utilise pas ces informations. À moins que l'accès à ces données ne relève d'un cas exceptionnel décrit à l'alinéa suivant, le DHS supprime les données PNR de l'UE sensibles dans les meilleurs délais.

Si cela est nécessaire dans un cas exceptionnel où la vie de la personne concernée ou d'autres personnes pourrait être mise en danger ou subir une atteinte grave, les fonctionnaires du DHS peuvent demander et utiliser des informations figurant dans les données PNR de l'UE autres que celles énumérées ci-dessus, y compris des données sensibles. Dans ce cas, le DHS tiendra un registre des accès à toute donnée sensible provenant des PNR de l'UE et supprimera ces données dans un délai de trente jours après que les fins pour lesquelles les données ont été consultées ont été atteintes et si leur conservation n'est pas exigée par la loi. Le DHS fera normalement savoir à la Commission européenne (DG JLS) dans les quarante-huit heures que ces données, y compris des données sensibles, ont été consultées.

IV. Droit d'accès et droit de regard

Le DHS a pris une décision politique visant à étendre les protections administratives prévues par la loi sur le respect de la vie privée (Privacy Act) aux données PNR stockées dans le système automatisé de ciblage (ATS) quels que soient la nationalité ou le pays de résidence de la personne concernée, y compris aux données relatives aux citoyens européens. Conformément au droit américain, le DHS tient aussi un système accessible aux personnes, quels que soient leur nationalité ou leur pays de résidence, afin de répondre aux personnes demandant des informations sur les données PNR ou la correction de celles-ci. Ces mesures sont accessibles sur le site internet du DHS: www.dhs.gov

En outre, les données PNR fournies par une personne ou en son nom sont communiquées à ladite personne conformément à la loi américaine sur le respect de la vie privée (Privacy Act) et à la loi américaine sur la liberté de l'information (Freedom of Information Act, ci-après dénommée «FOIA»). La FOIA autorise toute personne (quels que soient sa nationalité ou son pays de résidence) à consulter les registres d'une agence fédérale des États-Unis, sauf si ces registres échappent en tout ou partie à la divulgation en vertu d'une dérogation prévue par ladite loi. Le DHS ne communique pas les données PNR au public, à l'exception des personnes concernées ou de leurs agents conformément à la législation américaine. Les demandes d'accès aux données personnellement identifiables contenues dans les PNR fournies par le demandeur peuvent être envoyées au FOIA/PA Unit, Office of Fields Operations, US Customs and Border Protection, Room 5.5-C, 1300 Pennsylvania Avenue, NW, Washington, DC 20229 [tél. (202) 344-1850 et fax (202) 344-2791].

Dans certaines circonstances exceptionnelles, le DHS peut exercer ses pouvoirs au titre de la FOIA pour refuser ou retarder la divulgation de la totalité ou d'une partie du dossier PNR à un demandeur au premier chef, conformément au titre 5 du code des États-Unis, section 552 (b). En vertu de la FOIA, tout demandeur est habilité à contester dans le cadre d'une procédure administrative ou judiciaire la décision du DHS de ne pas communiquer les informations.

V. Sanctions

La législation des États-Unis prévoit des sanctions administratives, civiles et pénales en cas de violations des dispositions américaines en matière de respect de la vie privée et de divulgation non autorisée de dossiers des États-Unis. Les dispositions concernées comprennent entre autres le titre 18 du code des États-Unis, sections 641 et 1030, et le titre 19 du code des réglementations fédérales, section 103.34.

VI. Avis

Le DHS a fourni aux voyageurs des informations sur le traitement des données PNR auquel il procède, par le biais de publications dans le registre fédéral (Federal Register) et sur son site internet. Le DHS fournira également aux compagnies aériennes un avis standard à mettre à la disposition du public concernant la collecte des données PNR et les voies de recours. Le DHS et l'UE coopéreront avec les parties intéressées de l'industrie aéronautique pour mieux faire connaître ces avis.

VII. Conservation des données

Le DHS conserve les données PNR de l'UE dans une base de données analytique active pendant sept ans, après quoi les données acquerront un statut inactif, non opérationnel. Les données ayant ce statut seront conservées pendant huit ans et il ne sera possible d'y accéder qu'avec l'accord d'un haut fonctionnaire du DHS désigné par le secrétaire à la sécurité intérieure et uniquement en réponse à une situation, une menace ou un risque déterminés. Les données PNR de l'UE devraient être détruites à la fin de cette période; la question de savoir si et quand il convient de détruire les données PNR collectées conformément à la présente lettre sera examinée par le DHS et l'Union européenne dans le cadre de discussions futures. Les données qui sont liées à un cas ou une enquête spécifiques peuvent être conservées dans une base de données active jusqu'à ce que le cas ou l'enquête soient archivés. Le DHS a l'intention de réexaminer l'effet de ces dispositions en matière de conservation sur les opérations et les enquêtes en se fondant sur l'expérience acquise durant les sept prochaines années. Le DHS discutera des résultats de cet examen avec l'UE.

Les périodes de conservation mentionnées ci-dessus s'appliquent aussi aux données PNR de l'UE collectées sur la base des accords entre l'UE et les États-Unis du 28 mai 2004 et du 19 octobre 2006.

VIII. Transmission

Compte tenu de nos récentes négociations, vous comprenez que le DHS est disposé à passer aussi rapidement que possible à un «système d'exportation» pour transmettre au DHS le PNR provenant des compagnies aériennes assurant des vols entre l'UE et les États-Unis. Treize compagnies aériennes ont déjà adopté cette approche. C'est aux transporteurs qu'il incombe d'amorcer le passage au système d'exportation; ils doivent pour cela mettre à disposition les ressources nécessaires à la migration de leurs systèmes et œuvrer avec le DHS pour se mettre en conformité avec les exigences techniques de celui-ci. Le DHS passera à ce système de transmission des données par les transporteurs aériens dans les meilleurs délais, au plus tard le 1er janvier 2008 pour tous les transporteurs aériens qui ont mis en œuvre un système conforme aux exigences techniques du DHS. Pour les transporteurs aériens qui n'ont pas mis en œuvre un tel système, le système actuel reste en vigueur jusqu'à ce que les transporteurs aient mis en œuvre un système compatible avec les exigences techniques du DHS pour la transmission des données PNR. Le passage à un système d'exportation ne confère toutefois pas aux compagnies aériennes de marge d'appréciation pour décider quelles données exporter, ni quand ou comment le faire. Le droit américain confère ce pouvoir de décision au DHS.

Dans des circonstances normales, le DHS recevra une transmission initiale des données PNR soixante-douze heures avant un départ prévu et recevra ensuite, le cas échéant, des mises à jour pour garantir l'exactitude des données. Veiller à ce que les décisions soient prises sur la base de données disponibles en temps utile et complètes constitue l'une des garanties les plus fondamentales pour la protection des données à caractère personnel et le DHS s'emploie avec les différents transporteurs à intégrer cette approche dans leurs systèmes d'exportation. Le DHS peut demander les données PNR plus de soixante-douze heures avant le départ prévu du vol lorsqu'il est indiqué qu'un accès rapide à ces données est nécessaire pour faire face plus facilement à une menace particulière contre un vol, une série de vols ou une ligne aérienne, ou à d'autres circonstances liées aux fins définies au point I. Dans l'exercice de ce pouvoir discrétionnaire, le DHS agira de façon judicieuse et proportionnée.

IX. Réciprocité

Au cours de nos récentes négociations, nous sommes convenus que le DHS compte sur ce qu'il ne lui est pas demandé de prendre, dans son système de données PNR, des mesures de protection des données qui soient plus strictes que celles appliquées par les autorités européennes dans leurs systèmes PNR nationaux. Le DHS ne demande pas aux autorités européennes d'adopter, dans leurs systèmes de données PNR, des mesures de protection des données qui soient plus strictes que celles appliquées par les États-Unis dans leur système de données PNR. Si cette attente n'est pas satisfaite, le DHS se réserve le droit de suspendre les dispositions pertinentes de sa lettre et de mener des consultations avec l'UE en vue de parvenir à une solution rapide et satisfaisante. En cas de mise en œuvre d'un système de données PNR dans l'Union européenne ou dans un ou plusieurs de ses États membres faisant obligation aux transporteurs aériens de mettre à la disposition des autorités les données PNR des passagers dont le voyage inclut un vol entre les États-Unis et l'Union européenne, le DHS encourage activement, dans le strict respect du principe de réciprocité, les compagnies aériennes relevant de sa compétence à coopérer.

Afin de renforcer la coopération policière et judiciaire, le DHS favorisera le transfert d'informations analytiques provenant des données PNR par les autorités compétentes américaines aux services de police et aux autorités judiciaires des États membres concernés et, le cas échéant, à Europol et à Eurojust. Le DHS compte que l'UE et ses États membres encourageront de même leurs autorités compétentes à fournir des informations analytiques provenant des données PNR au DHS et aux autres autorités américaines concernées.

X. Réexamen

Le DHS et l'UE réexamineront à intervalles réguliers la mise en œuvre de l'accord, de la présente lettre, des mesures et pratiques des États-Unis et de l'UE en matière de données PNR et tout cas d'accès à des données sensibles afin de contribuer au fonctionnement efficace de nos pratiques de traitement des données PNR et à la protection de la vie privée qu'elles assurent. Dans le cadre du réexamen, l'UE sera représentée par le membre de la Commission chargé de la justice, de la liberté et de la sécurité et le DHS sera représenté par le secrétaire à la sécurité intérieure, les deux parties pouvant également désigner, pour les représenter, un fonctionnaire qui soit acceptable par chacune d'entre elles. L'UE et le DHS détermineront ensemble dans le détail les modalités des réexamens.

Les États-Unis demanderont sur une base de réciprocité des informations sur les systèmes PNR des États membres dans le cadre de ce réexamen périodique, et les représentants des États membres disposant de systèmes PNR seront invités à participer aux discussions.

Nous ne doutons pas que cette explication vous a aidé à comprendre la manière dont nous traitons les données PNR de l'UE.

TRADUCTION

Monsieur Michael Chertoff

Ministère américain de la sécurité intérieure

Washington DC 20528

Nous vous remercions vivement pour votre lettre adressée à la présidence du Conseil et à la Commission dans laquelle vous expliquez la manière dont le DHS traite les données PNR.

Les assurances que vous donnez à l'Union européenne telles qu'elles sont exposées dans votre lettre permettent à l'Union européenne d'estimer que, aux fins de l'accord international signé entre les États-Unis et l'Union européenne sur le traitement et le transfert des données PNR en juillet 2007, le DHS assure un niveau adéquat de protection des données PNR.

En se fondant sur cette appréciation, l'UE prendra toutes les mesures nécessaires pour décourager les organisations internationales ou les pays tiers de toute intervention dans les transferts de données PNR de l'UE vers les États-Unis. L'UE et ses États membres encourageront également leurs autorités compétentes à fournir des informations analytiques provenant des données PNR au DHS et aux autres autorités américaines concernées.

Nous nous réjouissons à la perspective de coopérer avec vous et avec l'industrie aéronautique pour faire en sorte que les passagers soient informés de la manière dont les gouvernements peuvent utiliser les informations les concernant.