Décision (UE) 2021/121

(1)

La convention relative à l’aviation civile internationale (ci-après dénommée «convention de Chicago»), qui a pour objet de réglementer le transport aérien international, est entrée en vigueur le 4 avril 1947. Elle a institué l’Organisation de l’aviation civile internationale (OACI).

(2)

Les États membres de l’Union sont des États contractants de la convention de Chicago et sont membres de l’OACI, tandis que l’Union dispose d’un statut d’observateur dans certains organes de l’OACI.

(3)

En vertu de l’article 54 de la convention de Chicago, le Conseil de l’OACI doit adopter des normes et pratiques recommandées internationales (SARP).

(4)

Le 21 décembre 2017, le Conseil de sécurité de l’Organisation des Nations unies (ci-après dénommé «Conseil de sécurité») a, dans sa résolution 2396 (2017), décidé que les États membres de l’Organisation des Nations unies devaient renforcer la capacité à collecter, traiter et analyser, dans le cadre des SARP de l’OACI, les données des dossiers passagers (PNR) et veiller à ce que les données PNR soient utilisées et communiquées à toutes leurs autorités nationales compétentes, dans le plein respect des droits de l’homme et des libertés fondamentales aux fins de prévenir, de détecter et d’instruire les infractions terroristes et les voyages de terroristes.

(5)

La résolution 2396 (2017) du Conseil de sécurité exhorte également l’OACI à travailler avec les États contractants en vue d’établir une norme pour la collecte, l’utilisation, le traitement et la protection des données PNR.

(6)

Les SARP relatives aux PNR figurent dans la section D du chapitre 9 de l’annexe 9 de la convention de Chicago. Ces SARP sont complétées par des orientations supplémentaires, notamment le document 9944 de l’OACI établissant des lignes directrices sur les données PNR.

(7)

Le 23 juin 2020, le Conseil de l’OACI a adopté l’amendement no 28 à la section D du chapitre 9 de l’annexe 9 de la convention de Chicago, qui énonce un nouvel ensemble de SARP afin que les États contractants développent leurs capacités à collecter, utiliser, traiter et protéger les données PNR pour les vols à destination et en provenance de leur territoire (ci-après dénommé «amendement no 28»), étayé par un cadre juridique et administratif approprié.

(8)

Conformément à l’article 90 de la convention de Chicago, à moins qu’une majorité de ses États contractants n’ait fait connaître sa désapprobation, l’amendement no 28 prendra effet trois mois après l’expiration du délai fixé pour faire connaître une telle désapprobation.

(9)

Conformément à l’article 38 de la convention de Chicago, tout État contractant qui estime ne pouvoir se conformer en tous points à l’une quelconque de ces normes ou procédures internationales, ou mettre ses propres règlements ou pratiques en complet accord avec une norme ou procédure internationale amendée, ou qui juge nécessaire d’adopter des règles ou des pratiques différant sur un point quelconque de celles qui sont établies par une norme internationale, notifie immédiatement à l’OACI les différences entre ses propres pratiques et celles qui sont établies par la norme internationale. La notification de telles différences a une incidence sur les effets juridiques des normes adoptées par l’OACI. La position de l’Union en la matière doit donc être établie conformément à l’article 218, paragraphe 9, du traité sur le fonctionnement de l’Union européenne.

(10)

L’amendement no 28 a été notifié aux États contractants par la lettre aux États portant la référence EC 6/3-20/71. Selon cette lettre aux États, toute différence par rapport à l’amendement no 28 ou toute confirmation de conformité à celui-ci doit être notifiée au plus tard le 30 janvier 2021.

(11)

L’Union a adopté des règles communes sur les données PNR dans la directive (UE) 2016/681 du Parlement européen et du Conseil (1), dont le champ d’application recoupe en grande partie celui des SARP telles qu’elles ont été révisées par l’amendement no 28. La directive (UE) 2016/681 comporte notamment un ensemble complet de règles visant à préserver les droits fondamentaux à la vie privée et à la protection des données à caractère personnel, dans le cadre d’un transfert de données PNR par les transporteurs aériens aux États membres et du traitement de ces données aux fins de la prévention et de la détection des infractions terroristes et des formes graves de criminalité, ainsi que des enquêtes et des poursuites en la matière.

(12)

L’Union a également adopté des actes législatifs relatifs à la protection des données à caractère personnel, à savoir le règlement (UE) 2016/679 du Parlement européen et du Conseil (2) et la directive(UE) 2016/680 du Parlement européen et du Conseil (3), applicables au traitement des données PNR par les transporteurs aériens et d’autres opérateurs privés et par les autorités compétentes, pour la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière, et l’exécution de sanctions pénales, y compris aux fins de la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.

(13)

En outre, deux accords internationaux sur le traitement et le transfert de données PNR sont actuellement en vigueur entre l’Union et des pays tiers, à savoir l’Australie (4) et les États-Unis (5). Le 26 juillet 2017, la Cour de justice de l’Union européenne a rendu son avis 1/15 sur l’accord envisagé entre le Canada et l’Union européenne sur le transfert et le traitement de données PNR signé le 25 juin 2014 (6) (ci-après dénommé «avis 1/15»).

(14)

Les aspects liés aux PNR de la section D du chapitre 9 de l’annexe 9 de la convention de Chicago, telle qu’elle a été révisée par l’amendement no 28, concernent un domaine pour lequel l’Union dispose d’une compétence exclusive en vertu de l’article 3, paragraphe 2, du traité sur le fonctionnement de l’Union européenne, étant donné que l’amendement no 28 est susceptible d’affecter les règles communes pour la protection et le traitement des données PNR.

(15)

En conséquence, la position de l’Union en la matière, aux fins de l’élaboration de l’amendement no 28, a été prise conformément à la décision (UE) 2019/2107 du Conseil (7). Ladite position reflète les exigences du droit de l’Union en matière de protection des données à caractère personnel et de transfert de données PNR vers des pays tiers, telle qu’elle est établie dans le règlement (UE) 2016/679 et les directives (UE) 2016/680 et (UE) 2016/681, ainsi que les exigences découlant de la Charte des droits fondamentaux de l’Union européenne telle qu’interprétée par la Cour de justice de l’Union européenne, en particulier dans son avis 1/15.

(16)

Les SARP, telles qu’elles ont été révisées par l’amendement no 28, suivent largement la position de l’Union établie dans la décision (UE) 2019/2107 et elles établissent des garanties ambitieuses en matière de protection des données, notamment en ce qui concerne les droits des personnes concernées, la surveillance par une autorité indépendante, les données sensibles, le traitement automatisé des données PNR et la non-discrimination, les finalités pour lesquelles les données PNR peuvent être traitées, ainsi que la conservation, l’utilisation, la divulgation et le transfert ultérieur des données PNR.

(17)

Par conséquent, étant donné que l’amendement no 28 permettrait la réalisation de progrès importants au niveau international en ce qui concerne les normes de protection des données PNR, aucune désapprobation n’a été notifiée par les États membres de l’Union au titre de l’article 90 de la convention de Chicago.

(18)

Néanmoins, les exigences découlant du droit de l’Union en ce qui concerne le transfert et le traitement des données PNR sont plus strictes que les SARP telles qu’elles ont été révisées par l’amendement no 28.

(19)

La norme 9.34, point a), telle qu’elle figure dans l’amendement no 28, impose aux États contractants de ne pas entraver ou empêcher le transfert de données PNR vers un autre État contractant qui respecte les SARP. Au titre de la norme 9.34, point b), telle qu’elle figure dans l’amendement no 28, les États contractants conservent la possibilité de maintenir ou d’introduire des niveaux de protection plus élevés, selon leur cadre juridique et administratif national, et de négocier des arrangements supplémentaires avec d’autres États contractants pour établir des dispositions plus détaillées relatives au transfert des données PNR. Toutefois, le libellé actuel de la norme 9.34 n’est pas, du point de vue de l’Union et des États membres, suffisamment clair en termes juridiques pour garantir qu’il ne soit pas interdit aux États membres d’imposer ces exigences plus rigoureuses.

(20)

Dans ces circonstances, afin de garantir le respect du droit de l’Union et des SARP, les États membres devraient, en réponse à la lettre aux États portant la référence EC 6/3-20/71, notifier formellement une différence au sens de l’article 38 de la convention de Chicago. Cette différence devrait être limitée à la norme 9.34 de la section D du chapitre 9 de l’annexe 9 de la convention de Chicago, telle qu’elle est révisée par l’amendement no 28.

(21)

Il convient donc d’arrêter la position à prendre au nom de l’Union.

(22)

La position de l’Union devrait être exprimée par les États membres.

(23)

L’Irlande est liée par la directive (UE) 2016/681 et participe donc à l’adoption de la présente décision.

(24)

Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark ne participe pas à l’adoption de la présente décision et n’est pas lié par celle-ci ni soumis à son application,