Accord entre l'Union européenne et l'Islande sur le transfert des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière

1. Le présent accord a pour objectif de permettre le transfert des données des dossiers passagers (PNR) par les transporteurs aériens de l'Union vers l'Islande et de fixer les règles et conditions applicables au traitement de ces données PNR par l'Islande.

2. Le présent accord a également pour objectif d'intensifier la coopération policière et judiciaire entre l'Union et l'Islande en matière de données PNR.

3. Le présent accord s'applique aux transporteurs aériens assurant un service de transport de passagers entre l'Union et l'Islande ainsi qu'aux transporteurs aériens constitués en société, ou stockant des données, dans l'Union et assurant des services de transport de passagers à destination ou au départ de l'Islande.

1. L'Islande veille à ce que les transporteurs aériens transfèrent les données PNR à l'UIP islandaise exclusivement en transmettant les données PNR requises à la base de données de l'autorité demandeuse (ci-après dénommée «méthode “push”») et conformément aux procédures suivantes, le transfert devant s'effectuer:

2. L'Islande n'exige pas des transporteurs aériens qu'ils fournissent des éléments de données PNR dont ils ne sont pas encore entrés en possession ou qu'ils n'ont pas encore collectées dans le cadre des réservations ou dans le cours normal de leurs activités.

3. L'Islande veille à ce que l'UIP islandaise efface, dès réception des données PNR, tout élément de données qui lui a été transféré par un transporteur aérien en vertu du présent accord si cet élément de données ne figure pas dans la liste de l'annexe.

4. L'Islande veille à ce que l'UIP islandaise exige des transporteurs aériens qu'ils transfèrent les données PNR:

5. L'Islande autorise les transporteurs aériens à limiter les transferts visés au paragraphe 4, point b), aux mises à jour des données PNR transférées conformément au point a) dudit paragraphe.

6. L'Islande veille à ce que l'UIP islandaise informe les transporteurs aériens des moments prévus pour les transferts.

7. Dans des cas particuliers où certains éléments indiquent qu'un accès supplémentaire est nécessaire pour répondre à une menace spécifique liée aux finalités énoncées à l'article 5, l'UIP islandaise peut exiger d'un transporteur aérien qu'il communique des données PNR avant, pendant ou après les transferts programmés. Dans l'exercice de ce pouvoir discrétionnaire, l'Islande agit de façon judicieuse et proportionnée et exige le recours à la méthode de transfert visée au paragraphe 1.

1. Les parties peuvent décider que l'Islande est autorisée à exiger des transporteurs aériens qu'ils transfèrent les données PNR à l'UIP islandaise au moyen du routeur API-PNR mis en place conformément au règlement (UE) 2025/13 (5). Dans ce cas, l'Islande:

2. L'Islande notifie à l'Union sa demande d'utilisation du routeur API-PNR. L'Union accepte cette demande par écrit et par la voie diplomatique.

3. L'Union notifie à l'Islande, par écrit et par la voie diplomatique, toute modification du règlement (UE) 2025/13 ayant une incidence sur les règles relatives au fonctionnement et aux conditions d'utilisation du routeur API-PNR. Dans les 120 jours suivant la réception de cette notification, l'Islande peut notifier à l'Union, par écrit et par la voie diplomatique, son intention de renoncer à l'utilisation dudit routeur. Dans ce cas, les parties procèdent aux consultations prévues à l'article 23, paragraphe 1, et l'article 3, paragraphes 1, 4 et 6 recommencent à s'appliquer.

1. Lorsqu'elle procède à l'évaluation mentionnée à l'article 6, point a), l'UIP islandaise peut:

2. L'Islande veille à ce que les bases de données visées au paragraphe 1, point a), du présent article, soient non discriminatoires, fiables, à jour et limitées à celles utilisées par les autorités compétentes de l'Islande en lien avec les finalités énoncées à l'article 5.

3. L'Islande veille à ce que toute évaluation des données PNR telle que visée au paragraphe 1, point b), du présent article, soit fondée sur des modèles et critères préétablis non discriminatoires, spécifiques et fiables, afin de permettre à l'UIP islandaise de parvenir à des résultats ciblant des personnes qui pourraient raisonnablement être soupçonnées d'implication ou de participation à des infractions terroristes ou à des formes graves de criminalité. L'Islande veille à ce que ces critères ne soient en aucun cas fondés sur l'origine raciale ou ethnique d'une personne, ses opinions politiques, sa religion ou ses convictions philosophiques, son appartenance à un syndicat, son état de santé, sa vie sexuelle ou son orientation sexuelle.

4. L'Islande veille à ce que l'UIP islandaise réexamine individuellement, par des moyens non automatisés, toute concordance positive obtenue à la suite du traitement en temps réel de données PNR.

1. Le traitement de données PNR révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l'appartenance à un syndicat, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique, sont interdits par le présent règlement.

2. Dans la mesure où les données PNR reçues au titre du présent accord par l'UIP islandaise comprennent des données à caractère personnel relevant de ces catégories particulières, l'UIP islandaise efface immédiatement ces données.

1. L'Islande veille à ce que les données PNR reçues au titre du présent accord soient traitées de façon à garantir un niveau élevé de sécurité des données, adapté aux risques présentés par le traitement et la nature des données PNR reçues au titre du présent accord. En particulier, l'UIP islandaise:

2. L'Islande veille à ce que toute violation de la sécurité des données, entraînant notamment la destruction fortuite ou illégale, la perte fortuite, la modification, la communication ou l'accès non autorisés, ou toute forme illégale de traitement, fasse l'objet de mesures correctives efficaces et dissuasives.

3. L'Islande signale toute violation de la sécurité des données à l'autorité de contrôle nationale instituée conformément à l'article 41 de la directive (UE) 2016/680.

1. L'UIP islandaise enregistre et journalise toute opération de traitement de données PNR. Elle n'utilise un registre ou un journal que dans le but:

2. Les registres ou les journaux tenus au titre du paragraphe 1 sont communiqués, sur demande, à l'autorité de contrôle nationale, qui utilise ces informations uniquement pour surveiller la protection des données et garantir le traitement approprié des données, ainsi que leur intégrité et leur sécurité.

1. L'Islande veille à ce que les données PNR reçues au titre du présent accord soient conservées:

2. Conformément au paragraphe 1 du présent article, l'UIP islandaise ne peut conserver les données PNR de l'ensemble des passagers aériens que pendant une durée initiale qui doit être fixée en droit national. Cette durée initiale n'excède pas ce qui est strictement nécessaire pour permettre à l'UIP d'effectuer les recherches visées à l'article 6, point b), aux fins d'identifier des personnes qui ne sont pas encore soupçonnées de participation à des infractions terroristes ou à des formes graves de criminalité sur la base de l'évaluation en temps réel réalisée au titre de l'article 6, point a).

3. Au terme de la durée initiale visée au paragraphe 2, l'UIP islandaise ne peut conserver que les données PNR des passagers pour lesquels il existe des éléments objectifs de nature à établir un risque en matière d'infractions terroristes ou de formes graves de criminalité.

4. L'Islande veille à ce que l'UIP islandaise vérifie, sur une base régulière, la nécessité de continuer à conserver les données PNR au titre des paragraphes 2 et 3 du présent article.

5. À l'expiration de la durée de conservation appropriée, l'Islande veille à ce que les données PNR soient irrévocablement effacées ou rendues anonymes de telle sorte que les personnes concernées ne soient plus identifiables.

6. Par dérogation au paragraphe 1, point b), l'Islande peut autoriser la conservation des données PNR requises pour toute vérification, enquête, mesure coercitive, procédure juridictionnelle, procédure pénale ou mesure d'exécution d'une peine jusqu'au terme de celles-ci.

1. L'UIP islandaise dépersonnalise les données PNR au plus tard six mois après leur réception. Elle le fait en masquant les éléments de données ci-après, qui pourraient servir à identifier directement le passager auquel les données PNR se rapportent:

2. L'UIP islandaise ne peut communiquer les éléments de données mentionnés au paragraphe 1 du présent article que pour les finalités énoncées à l'article 5 et aux conditions prévues à l'article 13 ou 14.

1. Lorsqu'elle répond à une demande dûment motivée présentée par une autorité compétente, en conformément à l'article 6, point b), l'UIP islandaise communique, au cas par cas, les données PNR ou les résultats de leur traitement uniquement si:

2. Par dérogation au paragraphe 1, point d), l'UIP islandaise peut communiquer des données PNR sans examen ou approbation préalable en cas d'urgence dûment justifiée Dans ce cas, la vérification visée au paragraphe 1, point b), doit intervenir rapidement.

3. L'Islande veille à ce que l'autorité compétente destinataire ne communique pas les données PNR à une autre autorité, à moins d'y être autorisée par l'UIP islandaise.

1. Lorsqu'elle répond à une demande dûment motivée présentée par une autorité compétente d'un pays autre qu'un État membre, conformément à l'article 6, point b), l'UIP islandaise communique, au cas par cas, les données PNR ou les résultats de leur traitement uniquement si:

2. Par dérogation au paragraphe 1, point c), l'UIP islandaise peut communiquer des données PNR à un autre pays si elle estime que cette communication est nécessaire à la prévention d'une menace grave et imminente pour la sécurité publique, ou à la réalisation d'une enquête en la matière, et si ce pays fournit l'assurance écrite, conformément à un arrangement, un accord ou d'une autre manière, que les informations seront protégées conformément aux garanties prévues dans le présent accord.

3. Par dérogation au paragraphe 1, point d), l'UIP islandaise peut communiquer des données PNR sans examen et approbation préalables en cas d'urgence dûment justifiée Dans ce cas, la vérification visée au paragraphe 1 doit intervenir rapidement.

1. L'UIP islandaise communique à Europol ou à Eurojust, dans les limites de leurs mandats respectifs, ou aux UIP des États membres, les données PNR, les résultats du traitement de ces données ou les informations analytiques reposant sur des données PNR, dans les plus brefs délais et dans des cas particuliers où cette communication est nécessaire à la prévention ou à la détection d'actes terroristes ou de formes graves de criminalité, ou à des enquêtes ou des poursuites en la matière. L'UIP islandaise communique de telles informations soit de sa propre initiative soit à la demande d'Europol ou d'Eurojust, dans les limites de leurs mandats respectifs, ou des UIP des États membres.

2. Les UIP des États membres communiquent à l'UIP islandaise les données PNR, les résultats du traitement de ces données ou les informations analytiques reposant sur des données PNR, dans les plus brefs délais et dans des cas particuliers où cette communication est nécessaire à la prévention ou à la détection d'infractions terroristes ou de formes graves de criminalité, ou à des enquêtes ou des poursuites en la matière. Les UIP des États membres communiquent ces informations de leur propre initiative ou à la demande de l'UIP islandaise.

3. Les parties veillent à ce que les données visées aux paragraphes 1 et 2 soient communiquées dans le respect des règles applicables à la coopération des services répressifs ou au partage d'informations entre l'Islande et Europol ou Eurojust, ou l'État membre concerné. En particulier, les échanges d'informations avec Europol au titre du présent article s'effectuent au moyen d'un canal de communication sécurisé mis en place pour l'échange d'informations.

1. En ce qui concerne le traitement de données à caractère personnel par les autorités compétentes aux fins du présent accord, l'Islande veille à l'application de droits et obligations identiques à ceux prévus dans la directive (UE) 2016/680, y compris dans toute modification de ladite directive qu'elle a acceptée et mise en œuvre conformément à l'accord conclu par le Conseil de l'Union européenne, l'Islande et la Norvège sur l'association de ces deux États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen.

2. Le traitement de données à caractère personnel par l'UIP islandaise est surveillé par une autorité de contrôle indépendante instituée dans le cadre de la mise en œuvre et de l'application, par l'Islande, de la directive (UE) 2016/680, y compris toute modification de celle-ci que l'Islande a acceptée et mise en œuvre conformément à l'accord conclu par le Conseil de l'Union européenne, l'Islande et la Norvège sur l'association de ces deux États à la mise en œuvre, à l'application et au développement de l'acquis de Schengen.

3. Le présent article est sans préjudice de l'application de toute disposition plus spécifique du présent accord concernant le traitement des données PNR.

1. L'Islande veille à ce que l'UIP islandaise affiche sur son site internet les renseignements suivants:

2. L'Islande œuvre avec les tiers intéressés, tels que le secteur de l'aviation et du transport aérien, pour favoriser la transparence, au moment de la réservation, sur les finalités de la collecte et du traitement des données PNR, ainsi que sur les procédures à suivre pour demander l'accès à ces données ou leur correction, ou pour introduire un recours.

3. Si des données PNR conservées conformément à l'article 11 ont été communiquées conformément à l'article 13 ou à l'article 14, l'Islande en informe, compte tenu d'efforts raisonnables, les passagers concernés selon les modalités fixées conformément à l'article 13, paragraphe 2, point d), de la directive (UE) 2016/680, dans un délai raisonnable dès qu'une telle notification n'est plus susceptible de nuire au bon déroulement d'enquêtes des autorités publiques concernées, dans la mesure où les coordonnées utiles des passagers sont disponibles ou peuvent être retrouvées.

1. L'Islande informe l'Union, par la voie diplomatique, par écrit, les détails des autorités suivantes:

2. L'Islande notifie sans délai tout changement d'informations mentionnées au paragraphe 1.

3. L'Union rend les informations mentionnées aux paragraphes 1 et 2 publiques.

1. Le présent accord est approuvé par les parties conformément à leurs propres procédures.

2. Le présent accord entre en vigueur le premier jour du mois qui suit la date de réception de l'information écrite par laquelle l'Islande a notifié à l'Union l'identité des autorités visées à l'article 18, paragraphe 1, ou des notifications écrites par lesquelles les parties se sont notifiées, par la voie diplomatique, l'achèvement des procédures visées au paragraphe 1 du présent article, la date la plus tardive étant retenue.

1. Les parties règlent tout différend concernant l'interprétation, l'application ou la mise en œuvre du présent accord par voie de consultations, en vue d'arriver à une solution mutuellement acceptable, y compris en donnant à l'une ou l'autre partie la possibilité de s'exécuter dans un délai raisonnable.

2. L'une ou l'autre partie peut suspendre l'application de tout ou partie du présent accord par notification écrite à l'autre partie, par la voie diplomatique. Une telle notification écrite n'intervient qu'après que les parties ont mené des consultations pendant une durée raisonnable. La suspension prend effet à l'expiration d'un délai de deux mois à compter de la date de cette notification, à moins que les parties en décident autrement de commun accord.

3. Dès qu'elle estime que la suspension n'a plus lieu d'être, la partie qui a suspendu l'application du présent accord informe immédiatement l'autre partie de la date à laquelle l'application du présent accord reprendra. Cette notification se fait par écrit.

4. L'Islande continue à appliquer les dispositions du présent accord à toutes les données PNR reçues avant la suspension de celui-ci.

1. Le présent accord peut être dénoncé à tout moment par l'une ou l'autre partie par une notification écrite adressée par la voie diplomatique. La dénonciation prend effet trois mois après la date de réception de la notification écrite.

2. En cas de dénonciation notifiée par l'une des parties au titre du présent article, les parties décident des mesures nécessaires pour mettre un terme de manière appropriée à toute coopération engagée au titre du présent accord.

3. L'Islande continue à appliquer les dispositions du présent accord à toutes les données PNR reçues avant la dénonciation de celui-ci.

1. Le présent accord peut être modifié à tout moment d'un commun accord entre les parties. Les modifications du présent accord entrent en vigueur conformément à l'article 19.

2. L'annexe du présent accord peut être actualisée d'un commun accord entre les parties exprimé au moyen d'une notification écrite échangée par la voie diplomatique. Ces actualisations entrent en vigueur à la date visée à l'article 19, paragraphe 2.

1. Les parties se consultent sur les questions liées au suivi de la mise en œuvre du présent accord. Elles s'informent mutuellement de toute mesure susceptible d'avoir une incidence sur le présent accord.

2. Les parties procèdent à une évaluation conjointe de la mise en œuvre du présent accord, à la demande de l'une ou de l'autre partie et sur décision conjointe. Lors de cette évaluation, les parties accordent une attention particulière à la nécessité et à la proportionnalité du traitement des données PNR pour chacune des finalités énoncées à l'article 5. Les parties fixent à l'avance les modalités de cette évaluation.

1. Le présent accord s'applique au territoire de l'Union, conformément au traité sur l'Union européenne et au traité sur le fonctionnement de l'Union européenne, ainsi qu'au territoire de l'Islande.

2. Au plus tard à la date d'entrée en vigueur du présent accord, l'Union notifie à l'Islande les États membres aux territoires desquels le présent accord s'applique. Elle peut par la suite, à tout moment, notifier toutes modifications à cet égard.

Le présent accord est rédigé en double exemplaire en langues allemande, anglaise, bulgare, croate, danoise, espagnole, estonienne, finnoise, française, grecque, hongroise, irlandaise, italienne, lettonne, lituanienne, maltaise, néerlandaise, polonaise, portugaise, roumaine, slovaque, slovène, suédoise, tchèque et islandaise, tous les textes faisant également foi. En cas de divergence entre les textes du présent accord, le texte anglais prévaut.