EXPOSÉ DES MOTIFS

La législation canadienne autorise l'Agence des services frontaliers du Canada à inviter tout transporteur aérien assurant un service de transport de passagers au départ et à destination du Canada à lui fournir un accès électronique aux données des dossiers passagers (données PNR) avant que les passagers concernés n'arrivent au Canada ou ne quittent le pays. Les demandes des autorités canadiennes sont fondées sur l'article 107, paragraphe 1, de la loi sur les douanes, sur les règlements (douaniers) en matière d'informations sur les passagers, sur l’article 148, paragraphe 1), point d), de la loi sur l’immigration et la protection des réfugiés et sur le règlement n° 269 de la réglementation d'application de cette dernière loi.

Cette législation a pour finalité de permettre l’obtention par voie électronique des données PNR avant l’arrivée d’un vol et renforce dès lors considérablement la capacité de l'Agence des services frontaliers du Canada à mener de façon efficace une évaluation précoce des risques présentés par les passagers et à faciliter le trafic passagers légitime, ce qui améliore la sécurité du Canada. L’Union européenne, dans le cadre de sa collaboration avec le Canada en matière de lutte contre le terrorisme et d’autres formes graves de criminalité transnationale, considère que le transfert de données PNR au Canada favorise la coopération policière et judiciaire internationale, qui sera menée à bien grâce au transfert, par le Canada, d’informations analytiques découlant des données PNR aux autorités compétentes policières et judiciaires des États membres, ainsi qu’à Europol et Eurojust dans leurs domaines de compétence respectifs.

Le dossier passager est un relevé des renseignements relatifs au voyage de chaque passager, qui contient toutes les informations nécessaires pour le traitement et le contrôle des réservations par les transporteurs aériens.

Les transporteurs aériens sont tenus de fournir à l'Agence des services frontaliers du Canada un accès à certaines données PNR dans la mesure où elles sont recueillies et conservées dans les systèmes automatisés de réservation et de contrôle des départs des transporteurs aériens.

La législation de l'Union européenne en matière de protection des données n'autorise pas les transporteurs de pays européens et de pays tiers assurant des vols au départ de l'UE à transmettre les données PNR de leurs passagers à des pays tiers n'offrant pas un niveau adéquat de protection des données à caractère personnel si les garanties appropriées ne sont pas fournies. Il est indispensable de trouver une solution offrant la base juridique du transfert légal des données PNR de l’Union européenne vers le Canada en reconnaissance de la nécessité et de l’importance de l’utilisation des données PNR en matière de lutte contre le terrorisme et d’autres formes graves de criminalité transnationale, tout en assurant la sécurité juridique des transporteurs aériens. En outre, cette solution devrait être appliquée de façon homogène dans toute l’Union européenne, afin d'assurer la sécurité juridique des transporteurs aériens et le respect du droit des personnes à la protection de leurs données à caractère personnel, ainsi que leur sécurité physique.

En 2005, l'Union européenne a conclu avec le Canada un accord[1] sur le traitement des données PNR, fondé sur une série d'engagements de l'Agence des services frontaliers du Canada en ce qui concerne l'application de son programme PNR. Les engagements ont été annexés à une décision de la Commission constatant le niveau de protection adéquat des données à caractère personnel contenues dans les dossiers des passagers aériens (DP) transférés à l’Agence des services frontaliers du Canada[2]. À la suite de l'expiration de la décision de la Commission en 2009, l'Agence des services frontaliers du Canada s'est engagée unilatéralement à garantir à l'Union que les engagements resteraient pleinement en vigueur jusqu'à l'entrée en application d'un nouvel accord.

Après l'entrée en vigueur du traité de Lisbonne, le Parlement européen a adopté le 5 mai 2010 une résolution[3] dans laquelle il demandait une renégociation de l'accord sur la base de certains critères.

Le 21 septembre 2010, le Conseil a reçu une recommandation de la Commission visant à autoriser l'ouverture de négociations en vue d'un accord entre l'Union européenne et le Canada aux fins du transfert et de l'utilisation de données PNR afin de prévenir et de combattre le terrorisme et d'autres formes graves de criminalité transnationale.

Le 11 novembre 2010, le Parlement européen a adopté une résolution[4] sur la recommandation de la Commission au Conseil relative à l’ouverture de négociations.

Le 2 décembre 2010, le Conseil a adopté une décision, ainsi que des directives de négociation, autorisant la Commission à ouvrir des négociations au nom de l'Union européenne. À l'issue des négociations entre les parties, l'accord a été paraphé le 6 mai 2013.

Cet accord prend en considération et respecte les critères généraux définis dans la communication de la Commission relative à la démarche globale en matière de transfert de données PNR aux pays tiers[5] et les directives de négociation données par le Conseil.

Il s'est avéré que les dossiers passagers constituaient un instrument essentiel de la lutte contre le terrorisme et les formes graves de criminalité. L'accord prévoit plusieurs garanties importantes au bénéfice des personnes dont les données feront l'objet d'un transfert et d'un traitement. En particulier, la finalité du traitement des données PNR est strictement limitée à la prévention et à la détection d’infractions terroristes ou de formes graves de criminalité transnationale, et aux enquêtes et poursuites en la matière. La durée de conservation des données PNR est limitée, et ces données seront dépersonnalisées après un délai de 30 jours. Toute personne dispose d’un droit d’accès, de rectification, de recours et d’information. Les données seront exclusivement transférées au moyen de la méthode «push», selon laquelle les transporteurs aériens transfèrent les données PNR à l'Agence des services frontaliers du Canada, ce qui leur permet de conserver la maîtrise du type de données transmises. L'utilisation de données sensibles est limitée à des cas très exceptionnels, régie par des conditions strictes et soumise à des mesures de protection effectives, notamment l'autorisation requise du président de l'Agence et l'élimination des données après un laps de temps très court. Le Commissaire canadien à la protection de la vie privée et le service des recours de l'Agence susmentionnée vérifieront le respect de ces règles par le Canada.

Aux termes de l’article 218, paragraphe 6, point a), du traité sur le fonctionnement de l'Union européenne, le Conseil autorise la conclusion des accords internationaux.

En conséquence, la Commission propose au Conseil d'adopter une décision par laquelle il autorise la conclusion de l'accord entre l'Union européenne et le Canada sur le traitement et le transfert de données des dossiers passagers.

2013/0250 (NLE)

Proposition de

DÉCISION DU CONSEIL

relative à la conclusion de l'accord entre le Canada et l'Union européenne sur le transfert et le traitement de données des dossiers passagers

LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 82, paragraphe 1, point d), et son article 87, paragraphe 2, point a), en liaison avec l’article 218, paragraphe 6, point a),

vu la proposition de la Commission européenne,

vu l’approbation du Parlement européen[6],

après consultation du contrôleur européen de la protection des données,

considérant ce qui suit:

(1) Le 2 décembre 2010, le Conseil a adopté une décision, ainsi que des directives de négociation, autorisant la Commission à ouvrir des négociations au nom de l'Union européenne avec le Canada aux fins du transfert et de l'utilisation de données des dossiers passagers (données PNR) afin de prévenir et de combattre le terrorisme et d'autres formes graves de criminalité transnationale.

(2) Conformément à la décision 2013/XXX de la Commission du [][7], l’accord entre l’Union européenne et le Canada sur le transfert et le traitement de données des dossiers passagers a été signé le... 2013, sous réserve de sa conclusion à une date ultérieure.

(3) Il convient que l’accord soit conclu.

(4) Le présent accord respecte les droits fondamentaux et observe les principes reconnus en particulier par la charte des droits fondamentaux de l’Union européenne, notamment le droit au respect de la vie privée et familiale, le droit à la protection des données à caractère personnel et le droit à un recours effectif et à accéder à un tribunal impartial, visés respectivement à l’article 7, à l’article 8 et à l’article 47 de la charte. Il convient que l'accord soit appliqué conformément à ces droits et principes.

(5) [Conformément à l’article 3 du protocole 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Royaume-Uni et l’Irlande participent à l’adoption de la présente décision.]

(6) Conformément aux articles 1er et 2 du protocole 22 sur la position du Danemark annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark ne participe pas à l’adoption de la présente décision et n’est donc pas lié par l’accord ni soumis à son application,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier

L’accord entre l’Union européenne et le Canada sur le transfert et le traitement de données des dossiers passagers est approuvé au nom de l’Union européenne.

Le texte de l'accord à conclure est joint à la présente décision.

Article 2

Le président du Conseil désigne la personne habilitée à procéder, au nom de l’Union européenne, à l’échange des instruments d’approbation prévu à l’article 30 de l’accord, à l’effet d’exprimer le consentement de l’Union européenne à être liée par l’accord.

Article 3

La présente décision entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le

Par le Conseil

Le président

ANNEXE

ACCORD ENTRE LE CANADA ET L'UNION EUROPÉENNE SUR LE TRANSFERT ET LE TRAITEMENT DE DONNÉES DES DOSSIERS PASSAGERS

LE CANADA

et

L’UNION EUROPÉENNE,

(les «parties»)

SOUCIEUX de prévenir, de combattre, de réprimer et d'éliminer le terrorisme et les infractions liées au terrorisme, ainsi que d’autres formes graves de criminalité transnationale, afin de protéger leurs sociétés démocratiques respectives et les valeurs qui leur sont communes en faveur de la sécurité et de l’État de droit;

RECONNAISSANT l’importance de la prévention, de la répression, de l'élimination du terrorisme et des infractions liées au terrorisme, ainsi que des autres formes graves de criminalité transnationale, et de la lutte contre ces phénomènes, dans le respect des droits et des libertés fondamentaux, notamment des droits au respect de la vie privée et de la protection des données;

SOUCIEUX de renforcer et de promouvoir la coopération entre les parties dans l'esprit du partenariat UE-Canada;

RECONNAISSANT que le partage des informations est un élément crucial de la lutte contre le terrorisme, la criminalité connexe et d’autres formes graves de criminalité transnationale, et que, dans ce contexte, l’utilisation de données des dossiers passagers («données PNR») constitue un instrument essentiel en vue de la réalisation de ces objectifs;

RECONNAISSANT que, pour préserver la sécurité publique et à des fins répressives, il convient d’établir des règles qui régissent le transfert de données PNR par des transporteurs aériens au Canada;

RECONNAISSANT que les parties partagent des valeurs communes en ce qui concerne la protection des données et de la vie privée, qui se reflètent dans leur législation respective;

AYANT À L'ESPRIT les engagements de l'UE au titre de l'article 6 du traité sur l'Union européenne concernant le respect des droits fondamentaux, le droit au respect de la vie privée à l’égard du traitement des données à caractère personnel tel que prévu à l’article 16 du traité sur le fonctionnement de l’Union européenne, les principes de proportionnalité et de nécessité pour ce qui est du droit au respect de la vie privée et familiale, ainsi que de la protection de la vie privée et des données à caractère personnel au titre de l'article 8 de la convention de sauvegarde des droits de l'homme et des libertés fondamentales, de la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et de son protocole additionnel n° 181, et des articles 7 et 8 de la charte des droits fondamentaux de l'Union européenne;

COMPTE TENU des dispositions pertinentes de la Charte canadienne des droits et libertés et de la législation canadienne relative à la protection de la vie privée;

PRENANT ACTE de l’engagement de l’Union européenne de veiller à ce que les transporteurs aériens ne soient pas empêchés de se conformer à la législation canadienne en matière de transfert au Canada de données PNR provenant de l’Union européenne en vertu du présent accord;

PRENANT BONNE NOTE du réexamen conjoint fructueux, en 2008, de l’accord de 2006 entre les parties sur le transfert de dossiers passagers;

RECONNAISSANT que le présent accord n’a pas vocation à s’appliquer aux informations préalables sur les passagers qui sont collectées et transmises au Canada par les transporteurs aériens aux fins du contrôle aux frontières;

RECONNAISSANT également que le présent accord ne s'oppose pas à ce que le Canada continue à traiter des informations provenant de transporteurs aériens dans des circonstances exceptionnelles, lorsque cela est nécessaire pour atténuer tout préjudice grave et toute menace immédiate pour les transports aériens ou la sécurité nationale, dans le respect des strictes limites fixées dans la législation canadienne et, en tout état de cause, sans dépasser les limites prévues par le présent accord;

PRENANT ACTE de l’intérêt porté par les parties, ainsi que par les États membres de l’Union européenne, aux échanges d'informations relatives au mode de transmission des dossiers passagers et à leur divulgation hors du Canada, comme prévu aux articles concernés du présent accord, et prenant également acte de l’intérêt de l’Union européenne à ce que cette question soit abordée dans le contexte du mécanisme de consultation et d’examen prévu par le présent accord;

PRENANT ACTE de la possibilité ouverte aux parties d'examiner la nécessité et la possibilité d’un accord similaire en ce qui concerne le traitement des données PNR dans le transport maritime;

PRENANT ACTE de ce que le Canada s'est engagé à ce que son autorité compétente traitera les données PNR à des fins de prévention, de détection, de recherche et de poursuites d'infractions terroristes et d'autres formes graves de criminalité transnationale, en se conformant strictement aux garanties en matière de respect de la vie privée et de protection des données à caractère personnel énoncées dans le présent accord;

SOULIGNANT l'importance du partage des dossiers passagers, et des informations analytiques appropriées et pertinentes tirées de ceux-ci, obtenus par le Canada en vertu du présent accord auprès des autorités policières et judiciaires compétentes des États membres, ainsi que d'Europol et Eurojust, pour la promotion de la coopération policière et judiciaire internationale;

AFFIRMANT que le présent accord ne constitue pas un précédent pour tout instrument futur entre le Canada et l’Union européenne, ou entre l’une des parties et une autre partie, au sujet du traitement et du transfert de données PNR ou de la protection des données;

COMPTE TENU de l'engagement mutuel des parties en ce qui concerne l’application et la poursuite du développement de normes internationales pour le traitement des données PNR;

SONT CONVENUS DE CE QUI SUIT:

Dispositions générales

Article premier

Objet de l'accord

Dans le présent accord, les parties établissent les conditions régissant le transfert et l’utilisation des données des dossiers passagers («données PNR») en vue d'assurer la sécurité et la sûreté du public et de prescrire les moyens par lesquels lesdites données doivent être protégées.

Article 2

Définitions

Dans le présent accord, on entend par:

(a) «transporteur aérien», une entreprise de transports commerciaux qui utilise des avions pour transporter des passagers voyageant entre le Canada et l’Union européenne;

(b) «données des dossiers passagers» (données Passenger Name Record ou «données PNR»), les fiches créées par un transporteur aérien pour chaque voyage réservé par ou pour le compte d’un passager, nécessaires pour le traitement et le contrôle des réservations. En particulier, aux fins du présent accord, les données des dossiers passagers sont constituées des éléments énumérés à l'annexe du présent accord;

(c) «traitement», toute opération ou ensemble d’opérations appliquées (à l’aide ou non de procédés automatisés) à des données PNR, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion, la divulgation ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction;

(d) «autorité canadienne compétente», l’autorité canadienne chargée de recevoir et traiter les données PNR en vertu du présent accord;

(e) «données sensibles», des informations révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ou qui concernent la santé ou la sexualité d'une personne.

Article 3

Utilisation des dossiers passagers

1. Le Canada veille à ce que l’autorité canadienne compétente traite les données PNR reçues conformément au présent accord uniquement à des fins de prévention, de la détection, des enquêtes ou des poursuites concernant les infractions terroristes ou les formes graves de criminalité transnationale.

2. Aux fins du présent accord, le terme «infraction terroriste» comprend:

(a) un acte ou une omission commis pour un motif, un objectif ou une cause politique, religieux ou idéologique, dans l’intention d'intimider la population eu égard à sa sécurité, y compris sa sécurité économique, ou de contraindre une personne, un gouvernement ou une organisation nationale ou internationale à faire ou ne pas faire quelque chose, et qui intentionnellement

i) provoque la mort ou des blessures corporelles graves;

ii) met en danger la vie d'une personne;

iii) cause un risque grave pour la santé ou la sécurité de la population;

iv) provoque des dommages matériels graves susceptibles d’entraîner le préjudice visé aux points i) à iii); ou

v) génère une interférence grave, assortie d'une perturbation importante d’un service, d'une installation ou d'un système essentiel, qui ne résulte pas d'une action de sensibilisation, de protestation ou de contestation ou d'un arrêt de travail tel qu'une grève, légal ou illégal et non destiné à entraîner le préjudice visé aux points i) à iii); ou

(b) tout acte qui constitue une infraction au sens et selon la définition des conventions et protocoles internationaux en vigueur en matière de terrorisme; ou

(c) toute participation intentionnelle ou contribution donnée à une activité ayant pour objet de renforcer la capacité d'une entité terroriste à faciliter ou accomplir un acte ou une omission visé aux points a) ou b), ou toute instruction donnée à une personne, un groupe ou une organisation à cet égard; ou

(d) la commission d'une infraction grave lorsque l’acte ou l’omission constitutif de l’infraction est accompli pour le compte d'une entité terroriste, sous sa direction ou en association avec elle; ou

(e) la collecte de biens, l'instruction donnée à une personne, un groupe ou une organisation de fournir des biens ou des ressources financières, la fourniture ou la mise à la disposition de biens, de services financiers ou d’autres services connexes en vue de l’exécution d’un acte ou d’une omission visé aux points a) ou b), ou l'utilisation ou la détention de biens en vue de l’exécution d’un acte ou d’une omission visé aux points a) ou b); ou

(f) la tentative ou la menace de commettre un acte ou une omission visé aux points a) ou b), la conspiration, la facilitation ou la communication d'instructions ou de conseils par rapport à un acte ou une omission visé aux points a) ou b), la tenue d'un rôle accessoire après la commission de l'acte, ou la fourniture d'un hébergement ou la commission d'un acte de dissimulation dans le but de permettre à une entité terroriste de faciliter ou d'accomplir un acte ou d’une omission visé aux points a) ou b).

(g) Aux fins du présent article, le terme «entité terroriste» s'applique à:

i) une personne, un groupe ou une organisation ayant comme un de ses buts ou une de ses activités de faciliter ou d'accomplir un acte ou une omission visé aux points a) ou b); ou

ii) une personne, un groupe ou une organisation agissant sciemment pour le compte d'une personne, d'un groupe ou d'une organisation visé au point i), ou sous sa direction ou en association avec celui-ci ou celle-ci.

3. On entend par «formes graves de criminalité transnationale» toute infraction punissable au Canada d’une peine privative de liberté d’au moins quatre ans ou d’une peine plus lourde, et telle qu’elle est définie par le droit canadien, si l’infraction est de nature transnationale.

Aux fins du présent accord, une infraction est considérée comme de nature transnationale si:

(a) elle est commise dans plus d'un pays;

(b) elle est commise dans un seul pays mais une part importante de sa préparation, de sa planification, de sa conduite ou de son contrôle a lieu dans un autre pays;

(c) elle est commise dans un seul pays mais implique un groupe criminel organisé qui est engagé dans des activités criminelles dans plus d'un pays;

(d) elle est commise dans un seul pays, mais a des répercussions importantes dans un autre pays; ou

(e) elle est commise dans un seul pays et l'auteur de l'infraction se trouve dans un autre pays ou a l'intention de se rendre dans un autre pays.

4. Dans des cas exceptionnels, l’autorité canadienne compétente peut traiter les données PNR lorsque cela est nécessaire pour protéger les intérêts vitaux de toute personne, comme en cas de:

(a) risque de décès ou de blessure grave; ou

(b) risque important pour la santé publique, notamment en application des normes reconnues au niveau international.

5. Le Canada peut également traiter des données PNR, au cas par cas, de façon à:

(a) garantir la surveillance ou la responsabilité de l’administration publique; ou

(b) se conformer à une convocation, un mandat d'arrêt ou ordonnance émis par une juridiction.

Article 4

Assurance de la transmission des données PNR

1. L’Union européenne veille à ce que les transporteurs aériens ne soient pas empêchés de transférer des données PNR à l’autorité canadienne compétente en exécution du présent accord.

2. Le Canada n’exigera pas d'un transporteur aérien qu'il fournisse des éléments de données PNR qu'il n'a pas encore collectés ou dont il n'est pas encore entré en possession dans le cadre des réservations.

3. Le Canada supprime dès réception toute donnée qui lui a été transférée par un transporteur aérien, en vertu du présent accord, si cet élément de données ne figure pas dans la liste de l’annexe.

4. Les parties veillent à ce que les transporteurs aériens puissent transférer des données PNR à l’autorité canadienne compétente par l'intermédiaire d'agents mandatés, qui agissent au nom de et sous la responsabilité du transporteur aérien, aux fins et dans les conditions prévues par le présent accord.

Article 5

Caractère adéquat

Pour autant qu'elle se conforme au présent accord, l’autorité canadienne compétente est réputée fournir un niveau de protection adéquat, au sens de la législation de l’UE applicable en matière de protection des données, lorsqu'elle traite et utilise des données PNR. Tout transporteur aérien qui fournit de données PNR au Canada en exécution du présent accord est réputé satisfaire aux exigences prévues par la législation de l'UE en ce qui concerne le transfert de données de l’Union européenne au Canada.

Article 6

Coopération policière et judiciaire

1. Dès que des informations analytiques utilisables, pertinentes et appropriées contenant des données PNR auront été obtenues en vertu du présent accord, le Canada communique ces informations à Europol et Eurojust, dans le cadre de leurs mandats respectifs, ou à l'autorité judiciaire ou de police d’un État membre. Le Canada veille à ce que ces informations soient communiquées conformément aux accords, et dans le respect des dispositions d’application, concernant la force publique ou les échanges d’informations entre le Canada et Europol, Eurojust ou cet État membre.

2. À la demande d’Europol, d’Eurojust, dans le cadre de leurs mandats respectifs, ou d'un service de police ou d'une autorité judiciaire d’un État membre, le Canada communique les données PNR ou les informations analytiques contenant des données PNR obtenues en vertu du présent accord dans des cas particuliers, aux fins de la prévention, de la détection, de la recherche ou des poursuites au sein de l’Union européenne d'une infraction terroriste ou d'un acte grave de criminalité transnationale. Le Canada transmet ces informations conformément aux accords, et dans le respect des dispositions d’application, concernant la force publique, la coopération judiciaire ou les échanges d’informations entre le Canada et Europol, Eurojust ou cet État membre.

Garanties applicables au traitement des données PNR

Article 7

Non-discrimination

Le Canada veille à ce que les garanties applicables au traitement des données PNR s’appliquent équitablement à l’ensemble des passagers, sans discrimination illégale.

Article 8

Utilisation de données sensibles

1. Si les données PNR collectées relatives à un passager contiennent des données sensibles, le Canada veille à ce que l’autorité canadienne compétente masque ces dernières par des systèmes automatisés et à ce qu'elle ne les traite pas, sauf dans les cas prévus aux paragraphes 3, 4 et 5.

2. Le Canada fournit à la Commission européenne une liste de codes et de termes identifiant les données sensibles que le Canada est tenu de masquer. Il fournit cette liste dans un délai de 90 jours à compter de l’entrée en vigueur du présent accord.

3. Le Canada peut traiter les données sensibles, au cas par cas, dans des circonstances exceptionnelles où ce traitement est indispensable parce que la vie d'une personne est en danger ou qu'il existe un risque de blessure grave.

4. Le Canada veille à ce que le traitement de données sensibles en vertu du paragraphe 3 ne se fasse qu'en conformité avec des règles procédurales strictes, notamment:

(a) le traitement des données sensibles est approuvé par le chef de l’autorité canadienne compétente;

(b) les données sensibles sont traitées exclusivement par un agent spécifiquement et individuellement habilité à cet effet; et, d’autre part,

(c) lorsqu'elles ne sont plus masquées, les données sensibles ne sont pas traitées par des systèmes automatisés.

5. Le Canada supprime les données sensibles au plus tard quinze jours à compter de la date de leur réception, à moins qu'il les conserve conformément à l’article 16, paragraphe 5.

6. Si, en application des paragraphes 3, 4 et 5, l'autorité canadienne compétente traite des données sensibles concernant une personne physique qui est un ressortissant d’un État membre, le Canada veille à ce que ladite autorité en informe dès que possible les autorités de l'État membre concerné. Le Canada communique cette information conformément aux accords ou aux dispositions en matière répressive ou en matière d’échange d’informations entre le Canada et cet État membre.

Article 9

Sécurité et intégrité des données

1. Le Canada met en œuvre des mesures réglementaires, procédurales ou techniques visant à protéger les données PNR contre les accès, traitements ou pertes fortuits, illégaux ou non autorisés.

2. Le Canada assure des contrôles de conformité, ainsi que la protection, la sécurité, la confidentialité et l’intégrité des données. Le Canada:

(a) applique des procédures de cryptage, d’autorisation, et de documentation aux données PNR;

(b) limite l’accès aux données PNR aux agents autorisés à cet effet;

(c) conserve les données PNR dans un environnement physique sécurisé, protégé par des contrôles d’accès; et, d’autre part,

(d) met en place un mécanisme garantissant que les demandes de dossiers passagers soient effectuées en conformité avec l’article 3.

3. Si les données PNR d'une personne sont consultées ou divulguées sans autorisation, le Canada en informe cette personne, atténue le risque de préjudice et prend des mesures correctives.

4. Le Canada veille à ce que l’autorité canadienne compétente informe rapidement la Commission européenne de tout cas significatif d'accès, traitement ou perte, fortuit, illégal ou non autorisé, de données PNR.

5. Toute violation de la sécurité des données, entraînant notamment la destruction fortuite ou illicite, la perte fortuite, la modification, la divulgation ou l’accès non autorisés, ou toute autre forme illicite de traitement fait l’objet de mesures correctives efficaces et dissuasives, éventuellement assorties de sanctions.

Article 10

Surveillance

1. Les garanties en matière de protection des données aux fins du traitement de données PNR en vertu du présent accord feront l'objet d'une surveillance par une autorité publique indépendante, ou par une institution créée par des moyens administratifs qui exerce ses fonctions de façon impartiale et qui a démontré son autonomie. Cette autorité disposera de réels pouvoirs d’enquête sur le respect des règles relatives à la collecte, l’utilisation, la divulgation, la conservation ou l'élimination des données PNR. Elle pourra effectuer des contrôles de conformité et mener des enquêtes, rendre compte de constatations et faire des recommandations à l’autorité canadienne compétente. L'autorité de surveillance sera habilitée à signaler des infractions à la législation liée au présent accord, à des fins, le cas échéant, de poursuites pénales ou de mesures disciplinaire.

2. L'autorité compétente veille à ce que les plaintes concernant les cas de non-respect du présent accord soient reçues, instruites, fassent l'objet d'une réponse et donnent lieu à une réparation appropriée.

Article 11

Transparence

1. Le Canada veille à ce que l’autorité canadienne compétente affiche sur son site internet:

(a) une liste de la législation autorisant la collecte de données PNR;

(b) la raison de la collecte de données PNR;

(c) les modalités de protection des données PNR;

(d) la manière et la mesure dans laquelle les données peuvent être divulguées;

(e) des informations concernant l’accès, les corrections de données, les mentions jointes et les recours; et, d’autre part,

(f) des informations de contact pour toute demande de renseignement.

2. Les parties œuvrent avec les parties intéressées, telles que le secteur aérien, à la promotion de la transparence, de préférence au moment de la réservation, en fournissant les informations suivantes aux passagers:

(a) les raisons de la collecte des données PNR;

(b) l’utilisation des données PNR;

(c) la procédure de demande d’accès aux données PNR; et, d’autre part,

(d) la procédure de demande de correction de données PNR.

Article 12

Accès pour les particuliers

1. Le Canada veille à ce que toute personne puisse accéder à ses données PNR.

2. Le Canada veille à ce que l’autorité canadienne compétente, dans un délai raisonnable:

(a) fournisse à l’intéressé une copie de ses données PNR s'il en fait une demande par écrit;

(b) réponde par écrit aux demandes;

(c) fournisse à l'intéressé un accès aux informations enregistrées confirmant que ses données PNR ont été divulguées, s'il demande une telle confirmation;

(d) expose les motifs juridiques ou factuels d’un refus d’autoriser l’accès aux données PNR de la personne;

(e) informe, le cas échéant, l'intéressé de l'absence de données PNR;

(f) informe l'intéressé de son droit de déposer une réclamation et de la procédure à cet égard.

3. Le Canada peut divulguer toute information pour autant qu'il se conforme à des exigences et des limites juridiques raisonnables, y compris toute restriction nécessaire pour prévenir, détecter, instruire ou poursuivre les infractions pénales, ou pour protéger la sécurité publique ou nationale, dans le respect de l’intérêt légitime de la personne concernée.

Article 13

Correction ou mention pour les particuliers

1. Le Canada veille à ce que toute personne puisse demander une correction à ses données PNR.

2. Le Canada veille à ce que l’autorité canadienne compétente examine toute demande écrite de correction et, dans un délai raisonnable:

(a) corrige les données PNR et fasse savoir à l'intéressé que la correction a été effectuée; ou

(b) refuse tout ou partie de la correction, et:

i) joigne une mention aux données PNR faisant état de toute correction demandée et refusée;

ii) fasse savoir à l'intéressé que:

i. la demande de correction a été refusée, en précisant les motifs juridiques ou factuels du refus;

ii. une mention au sens du point i) a été jointe aux données PNR; et, d’autre part,

(c) informe l'intéressé de son droit de déposer une réclamation et de la procédure à cet égard.

Article 14

Recours administratifs et judiciaires

1. Le Canada s'assure qu’une autorité publique indépendante, ou une institution créée par des moyens administratifs qui exerce ses fonctions de façon impartiale et qui a démontré son autonomie, reçoit, instruit et répond aux réclamations déposées par les particuliers en ce qui concerne une demande d’accès, une correction ou une mention relative à des données PNR les concernant. Le Canada veille à ce que l’autorité compétente informe le plaignant des modalités d'introduction du recours juridictionnel prévu au paragraphe 2.

2. Le Canada veille à ce que toute personne qui estime que ses droits ont été enfreints par une décision ou une mesure en rapport avec ses données PNR dispose d'un recours juridictionnel effectif conformément à la législation canadienne, ou de tout autre voie de recours susceptible de conduire à une indemnisation.

Article 15

Décisions fondées sur un traitement informatisé

Le Canada s’abstient de prendre des décisions affectant négativement de manière significative un passager unique sur la seule base du traitement informatisé des données PNR.

Article 16

Conservation des données PNR

1. Le Canada ne conservera pas de données PNR pendant plus de cinq ans à compter de la date de leur réception.

2. Le Canada limite l’accès à un nombre restreint de fonctionnaires spécialement habilités à cet effet.

3. a) Le Canada dépersonnalise par masquage les noms de tous les passagers 30 jours après réception de données PNR.

b) Deux ans après réception des données PNR, le Canada dépersonnalise en outre par masquage:

i) autres noms mentionnés dans le dossier passager, accompagnés du nombre de passagers figurant dans celui-ci;

ii) toutes les coordonnées disponibles (y compris les informations sur la source);

iii) les remarques générales, y compris les données OSI (autres informations), les données SSI (concernant des services spécifiques) et les données SSR (concernant des demandes relatives à des services spécifiques), dans la mesure où elles contiennent des éléments permettant d’identifier une personne physique; et, d’autre part,

iv) toute information préalable sur les passagers (API) collectée à des fins de réservation, dans la mesure où elle contient des éléments permettant d’identifier une personne physique.

4. Le Canada ne pourra rendre à nouveau visibles (démasquer) des données PNR que si, sur la base des informations disponibles, il est nécessaire de procéder à des enquêtes relevant de l’article 3, et ce conformément aux modalités suivantes:

(a) de 30 jours à deux ans à compter de leur réception initiale, le démasquage ne pourra être effectué que par un nombre restreint de fonctionnaires spécialement habilités à cet effet; et, d’autre part,

(b) de deux à cinq ans à compter de leur réception initiale, le démasquage ne pourra être effectué qu’avec l’autorisation préalable du chef de l’autorité canadienne compétente ou d'un représentant de haut niveau mandaté spécialement à cet effet par celui-ci.

5. Sans préjudice du paragraphe 1:

(a) le Canada peut conserver les données PNR requises pour toute action spécifique, vérification, enquête, mesure coercitive, procédure juridictionnelle, procédure pénale ou mesure d'exécution d'une peine, jusqu’à l'expiration de la situation concernée;

(b) Le Canada conserve les données PNR visées au point a) pour une période supplémentaire de deux ans dans le seul but de garantir la responsabilisation d'une administration publique de surveillance, pour qu’elles puissent être communiquées au passager sur demande de celui-ci.

6. Le Canada détruit les données PNR à la fin de leur période de conservation.

Article 17

Enregistrement et documentation des opérations de traitement des données PNR

Le Canada enregistre toute opération de traitement de données PNR. Il n’utilise des registres ou une documentation que dans le but:

(a) de contrôler et de vérifier la licéité du traitement des données;

(b) de veiller à l’intégrité des données;

(c) de veiller à la sécurité du traitement des données; et, d’autre part,

(d) de garantir la surveillance et la responsabilisation de l’administration publique.

Article 18

Divulgation au Canada

1. Le Canada veille à ce que l’autorité canadienne compétente ne communique des données PNR à d’autres autorités publiques du pays que si:

(a) les données PNR sont communiquées à des autorités publiques dont les fonctions sont directement liées au domaine couvert par l’article 3;

(b) les données PNR ne sont communiquées qu’au cas par cas;

(c) les circonstances du cas particulier rendent la communication nécessaire aux fins énoncées à l’article 3;

(d) seul le nombre minimal nécessaire de données PNR est communiqué;

(e) l'autorité publique destinataire offre une protection équivalente aux mesures de garantie prévues dans le présent accord; et, d’autre part,

(f) l’autorité publique destinataire ne communique pas les données PNR à une autre entité, à moins d'y être autorisée par l’autorité canadienne compétente dans le respect des conditions prévues au présent paragraphe.

2. Lors du transfert d’informations analytiques contenant des données PNR obtenues au titre du présent accord, les garanties offertes à l’égard des données PNR conformément au présent article sont respectées.

Article 19

Divulgation hors du Canada

1. Le Canada veille à ce que l’autorité canadienne compétente ne puisse communiquer des données PNR aux autorités publiques de pays autres que les États membres de l’Union européenne que si les conditions suivantes sont remplies:

(a) les données PNR sont communiquées à des autorités publiques dont les fonctions sont directement liées au domaine couvert par l’article 3;

(b) les données PNR ne sont communiquées qu’au cas par cas;

(c) les données PNR ne sont communiquées que si cela est nécessaire aux fins énoncées à l’article 3;

(d) seul le nombre minimal nécessaire de données PNR est communiqué;

(e) l'autorité canadienne compétente s'est assurée que:

i) l'autorité étrangère destinatrice des données PNR applique des normes de protection de celles-ci équivalentes à celles prévues dans le présent accord, conformément aux accords et dans le respect des dispositions contenant ces normes; ou

ii) l'autorité étrangère applique les normes de protection des données PNR qu'elle a convenues avec l’UE.

2. Si, conformément au paragraphe 1, l’autorité canadienne compétente communique les données PNR d’une personne physique qui est un ressortissant d’un État membre, le Canada veille à ce que l’autorité canadienne compétente en informe dès que possible les autorités de cet État membre. Le Canada communique cette information conformément aux accords ou aux dispositions en matière répressive ou en matière d’échange d’informations entre le Canada et cet État membre.

3. Lors du transfert d’informations analytiques contenant des données PNR obtenues au titre du présent accord, les garanties offertes à l’égard des données PNR conformément au présent article sont respectées.

Article 20

Méthode de transfert

Les parties veillent à ce que les transporteurs aériens transfèrent les données PNR à l’autorité canadienne compétente exclusivement selon la méthode «push» et conformément aux procédures suivantes à respecter par les transporteurs aériens:

(a) transfert des données PNR par voie électronique conformément aux prescriptions techniques de l’autorité canadienne compétente ou, en cas de défaillance technique, par tout autre moyen approprié garantissant un niveau de sécurité des données adéquat;

(b) transfert des données PNR sous format de messagerie défini d’un commun accord;

(c) transfert des données PNR de manière sécurisée en utilisant les protocoles communs exigés par l’autorité canadienne compétente.

Article 21

Fréquence des transferts

1. Le Canada veille à ce que l’autorité canadienne compétente exige du transporteur aérien qu'il transfère des données PNR:

(a) à un moment fixé préalablement et au plus tôt 72 heures avant le départ prévu; et à

(b) cinq fois au maximum pour un vol déterminé.

2. Le Canada veille à ce que l’autorité canadienne compétente informe les transporteurs aériens des moments prévus pour les transferts.

3. Dans les cas particuliers où certains éléments indiquent qu’un accès supplémentaire est nécessaire pour répondre à une menace spécifique liée au champ d’application visé à l’article 3, l’autorité canadienne compétente peut exiger d'un transporteur aérien qu'il communique des données PNR avant, pendant ou après les transferts programmés. Dans l’exercice de ce pouvoir discrétionnaire, le Canada agit de façon judicieuse et proportionnée et recourt à la méthode de transfert exposée à l’article 20.

Mesures d’application et dispositions finales

Article 22

Données PNR reçues avant l’entrée en vigueur du présent accord

Le Canada appliquera les dispositions du présent accord à toutes les données PNR qu’il détient au moment de l’entrée en vigueur du présent accord.

Article 23

Réciprocité

1. Si l’Union européenne adopte un régime de traitement des données PNR pour elle-même, les parties se consultent afin de déterminer s'il y a lieu de modifier le présent accord pour assurer une pleine réciprocité.

2. Le Canada et les autorités de l’UE coopèrent dans le rapprochement de leurs régimes respectifs de traitement des données PNR de manière à accroître la sécurité des citoyens du Canada, de l’UE et d'ailleurs.

Article 24

Non-dérogation

Le présent accord ne saurait être interprété comme dérogeant aux obligations qui lient le Canada et les États membres de l’UE ou des pays tiers et qui consistent à effectuer ou à répondre à une demande d’assistance au titre d’un instrument d’assistance mutuelle.

Article 25

Règlement des différends et suspension

1. Les parties règlent tout différend découlant de l’interprétation, de l’application ou de la mise en œuvre du présent accord par la voie diplomatique, en vue d’arriver à une solution mutuellement acceptable, y compris en prévoyant que l’une ou l’autre partie peut se conformer dans un délai raisonnable.

2. Si les parties ne parviennent pas à régler le différend, l’une ou l’autre partie peut suspendre l’application du présent accord par notification écrite à l’autre partie, par la voie diplomatique. La suspension prend effet 120 jours à compter la date de cette notification, à moins que les parties en décident autrement de commun accord.

3. La partie qui suspend l’application du présent accord met fin à la suspension dès que le différend est résolu à la satisfaction des deux parties. Elle informe l’autre partie par écrit de la date à laquelle l’application de l’accord reprend.

4. Le Canada continuera à appliquer les dispositions du présent accord à toutes les données PNR obtenues avant la suspension de celui-ci.

Article 26

Consultation, réexamen et modifications

1. Les parties s’informent mutuellement de toute mesure sur le point d'être promulguée susceptible d'avoir une incidence sur le présent accord.

2. Les parties procèdent à l’examen conjoint de la mise en œuvre du présent accord un an après son entrée en vigueur, puis à intervalles réguliers par la suite et, en outre, à la demande de l’une ou de l’autre partie et sur décision conjointe.

3. Les parties évaluent conjointement le présent accord quatre ans après son entrée en vigueur.

4. Les parties fixent préalablement ses modalités et se communiquent mutuellement la composition de leurs équipes respectives. Aux fins du réexamen, l’Union européenne sera représentée par la Commission européenne. Les équipes comporteront des experts en matière de protection des données et de répression. Sous réserve des lois applicables, les participants à un réexamen sont tenus de respecter la confidentialité des débats et possèdent les habilitations de sécurité appropriées. Aux fins d'un réexamen, le Canada garantit l'accès aux documents et systèmes pertinents, ainsi qu'au personnel compétent.

5. À la suite de l’examen conjoint, la Commission européenne présente un rapport au Parlement européen et au Conseil de l’Union européenne. Le Canada a la possibilité de formuler des observations écrites, qui sont annexées au rapport.

6. Une partie proposant une modification au présent accord est tenue de le faire par écrit.

Article 27

Résiliation

1. Une partie peut résilier le présent accord à tout moment, en informant l’autre partie de son intention par la voie diplomatique. Le présent accord expire 120 jours après la réception de la notification par l’autre partie.

2. Le Canada continuera à appliquer les dispositions du présent accord à toutes les données PNR obtenues avant la résiliation de celui-ci.

Article 28

Durée

1. Sous réserve du paragraphe 2, le présent accord est conclu pour une période de sept ans à compter de la date de son entrée en vigueur.

2. À l'expiration de chaque période de sept ans, l’accord est reconduit automatiquement pour une période supplémentaire de sept ans, sauf si l’une des parties informe l’autre de son intention de ne pas le reconduire. La partie en informe l’autre partie, par écrit et par la voie diplomatique, au moins six mois avant l’expiration de la période de sept ans.

3. Le Canada continuera à appliquer les dispositions du présent accord à toutes les données PNR obtenues avant la résiliation de celui-ci.

Article 29

Application territoriale

1. Sous réserve des paragraphes 2 à 4, le présent accord s’applique au territoire du Canada et au territoire sur lequel s’appliquent le traité sur l’Union européenne et le traité sur le fonctionnement de l’Union européenne.

2. Le présent accord ne s’applique au territoire du Danemark, du Royaume-Uni ou de l’Irlande que si l’Union européenne, par l’intermédiaire de la Commission européenne, en informe le Canada.

3. Si l’Union européenne, par l’intermédiaire de la Commission européenne, informe le Canada avant l’entrée en vigueur du présent accord que celui-ci s’appliquera au territoire du Danemark, du Royaume-Uni ou de l’Irlande, l'accord s’applique au territoire de l'État concerné le même jour qu'il s’applique aux autres États membres de l’Union européenne.

4. Si l’Union européenne, par l’intermédiaire de la Commission européenne, informe le Canada après l’entrée en vigueur du présent accord que celui-ci s’applique au territoire du Danemark, du Royaume-Uni ou de l’Irlande, l'accord s’applique au territoire de l'État concerné cinq jours après la date de la notification.

Article 30

Dispositions finales

1. Lorsqu'elle a accompli les procédures nécessaires à l’entrée en vigueur du présent accord, chaque partie en informe l’autre partie par écrit. Le présent accord entre en vigueur à la date de la seconde de ces notifications.

2. Le Canada notifiera à la Commission européenne, avant l’entrée en vigueur de l’accord et par voie diplomatique, l’identité des autorités suivantes:

(a) l’autorité canadienne compétente visée à l’article 2, paragraphe 1, point d); et à

(b) l’autorité publique indépendante ainsi que l’autorité créée par des moyens administratifs au sens de l’article 10 et de l’article 14, paragraphe 1).

Le Canada informe la Commission sans délai de toute modification à cet égard.

3. L’Union européenne publie les informations visées au paragraphe 2 au Journal officiel de l’Union européenne.

4. Le présent accord remplace les accords antérieurs conclus sur le traitement des données API et PNR, y compris l’accord entre la Communauté européenne et le gouvernement du Canada sur le traitement des données API (Advance Passenger Information) et des données PNR (Passenger Name Record) du 22 mars 2006.

Fait, en double exemplaire à …, le … … …, en langues anglaise et française. Le présent accord est également établi en langues allemande, bulgare, danoise, espagnole, estonienne, finnoise, grecque, hongroise, italienne, lettone, lituanienne, maltaise, néerlandaise, polonaise, portugaise, roumaine, slovaque, slovène, suédoise et tchèque. Une fois approuvées par les parties par échange de notes, les versions sont considérées comme faisant également foi. En cas de divergence entre les versions linguistiques, les versions anglaise et française prévalent.

POUR LE CANADA:

…………………………………………..

POUR L'UNION EUROPÉENNE

…………………………………………..

ANNEXE

Éléments de données PNR

1. code repère PNR (locator code);

2. date de réservation/d’émission du billet;

3. date(s) prévue(s) du voyage;

4. nom(s);

5. informations disponibles sur «les grands voyageurs» et les programmes de fidélisation (c’est-à-dire billets gratuits, surclassement, etc.);

6. autres noms mentionnés dans le dossier passager, accompagnés du nombre de passagers figurant dans celui-ci;

7. toutes les coordonnées disponibles (y compris les informations sur la source);

8. toutes les informations disponibles relatives au paiement/à la facturation (à l’exclusion des autres détails de l’opération liés à la carte de crédit ou au compte et n’ayant pas de lien avec l’opération relative au voyage);

9. itinéraire de voyage pour le PNR spécifique;

10. agence de voyage/agent de voyage;

11. informations sur le partage de codes;

12. informations «PNR scindé/divisé»;

13. statut du voyageur (y compris confirmations et statut d’enregistrement);

14. informations sur l'établissement des billets, y compris le numéro du billet, billets aller simple et données «Automated Ticketing Fare Quote» (prix du billet);

15. toutes les informations relatives aux bagages;

16. informations relatives au siège, y compris le numéro du siège occupé;

17. remarques générales, y compris les données OSI (Other Supplementary Information), les données SSI (Special Service Information) et les données SSR (Special Service Request);

18. toute information préalable sur les passagers (API) collectée à des fins de réservation;

19. l'historique de tous les changements apportés aux données PNR figurant aux points 1) à 18).

[1] JO L 82 du 21.3.2006, p. 15.

[2] JO L 91 du 29.3.2006, p. 49.

[3] JO C 81 du 15.3.2011, p. 70.

[4] JO C 74 du 13.3.2012, p. 8.

[5] COM(2010) 492 final du 21.9.2010.

[6] JO…

[7] JO....