Le CEPD exprime de sérieuses préoccupations concernant la proposition EU-PNR

Le Contrôleur européen de la protection des données (CEPD) a publié aujourd’hui son avis sur la récente proposition de Décision-cadre du Conseil relative à l’utilisation des données des dossiers passagers (Passenger Name Record - PNR) à des fins répressives. La proposition implique des obligations pour les transporteurs aériens de transmettre des données sur tous les passagers des vols à destination ou au départ d’un État membre de l’Union européenne.

L’avis se concentre sur l’impact déterminant de la proposition sur les questions relatives à la vie privée et à la protection des données des passagers aériens. Tout en reconnaissant que la lutte contre le terrorisme est un objectif légitime, le CEPD exprime de réelles préoccupations quant à la nécessité et la proportionnalité de la proposition qui, de son point de vue, ne sont pas suffisamment établies dans la proposition.

En outre, le CEPD adopte un regard critique sur le manque de clarté en ce qui concerne divers aspects de la proposition, en particulier le cadre juridique applicable, l’identité des destinataires des données à caractère personnel, et les conditions de transfert des données vers les pays tiers.

Selon Peter Hustinx, CEPD : « La lutte contre le terrorisme peut constituer un motif légitime à l’application d’exceptions aux droits fondamentaux à la vie privée et la protection des données, mais seulement dans le cadre de certaines limites. La nécessité des mesures envisagées doit être appuyée par des éléments clairs et indéniables, et leur proportionnalité doit être démontrée. Ces deux aspects sont des conditions essentielles et elles ne sont manifestement pas remplies en l’espèce. »

L’avis met l’accent sur quatre points clés et émet les conclusions suivantes :

 légitimité du traitement : la proposition ne fournit pas suffisamment d’éléments de justification pour appuyer et démontrer la légitimité du traitement des données ;

 cadre juridique applicable : une absence significative de sécurité juridique est à relever quant au régime applicable aux différents acteurs impliqués dans le projet de décision ;

 identité des destinataires des données : le projet de Décision ne prévoit aucune spécification concernant l’identité des destinataires des données à caractère personnel collectées par les compagnies aériennes ;

 transfert de données vers les pays tiers : il est impératif que les conditions de transfert des données PNR à des pays tiers soient cohérentes et soumises à un niveau de protection harmonisé.

Le CEPD recommande par ailleurs de ne pas adopter le projet de décision avant l’entrée en vigueur du nouveau Traité de Lisbonne, de sorte que la proposition puisse suivre la procédure de codécision prévue par le nouveau traité et que le Parlement européen soit pleinement impliqué dans le processus d’adoption.

EDPS/07/14 Jeudi 20 décembre 2007

Source : Europa