text:
Article   M. (1) Se fondant sur les assurances données dans la lettre d'explication du DHS sur la protection des données PNR (ci-après dénommée " la lettre du DHS "), l'Union européenne veillera à ce que les transporteurs aériens assurant un service de transport international de passagers à destination ou au départ des Etats-Unis rendent disponibles les données PNR stockées dans leurs systèmes de réservation comme l'exige le DHS.
(2) Le DHS passera à un système d'exportation pour la transmission des données par ces transporteurs aériens dans les meilleurs délais, au plus tard le 1er janvier 2008 pour tous les transporteurs aériens qui ont mis en oeuvre un système conforme aux exigences techniques du DHS. Pour les transporteurs aériens qui n'ont pas mis en oeuvre un tel système, les systèmes actuels restent en vigueur jusqu'à ce que les transporteurs aient mis en oeuvre un système conforme aux exigences techniques du DHS. Par conséquent, le DHS accédera, par voie électronique, au PNR provenant des systèmes de réservation des transporteurs aériens situés sur le territoire des Etats membres de l'Union européenne jusqu'à ce qu'un système satisfaisant soit mis en place pour permettre la transmission de ces données par les transporteurs aériens.
(3) Le DHS traite les données PNR reçues et les personnes concernées par ce traitement conformément aux lois et exigences constitutionnelles américaines applicables, sans discrimination illégitime, en particulier sur la base de la nationalité et du pays de résidence. La lettre du DHS expose ces garanties ainsi que d'autres.
(4) Le DHS et l'UE réexamineront à intervalles réguliers la mise en oeuvre du présent accord, de la lettre du DHS et des mesures et pratiques des Etats-Unis et de l'UE en matière de données PNR afin de veiller mutuellement au fonctionnement efficace de leurs systèmes et à la protection de la vie privée assurée par ces derniers.
(5) En vertu du présent accord, le DHS compte sur ce qu'il ne lui est pas demandé de prendre, dans son système PNR, des mesures de protection des données qui soient plus strictes que celles appliquées par les autorités européennes dans leurs systèmes PNR nationaux. Le DHS ne demande pas aux autorités européennes d'adopter, dans leurs systèmes PNR, des mesures de protection des données qui soient plus strictes que celles appliquées par les Etats-Unis dans leur système PNR. Si cette attente n'est pas satisfaite, le DHS se réserve le droit de suspendre les dispositions pertinentes de sa lettre et de mener des consultations avec l'UE en vue de parvenir à une solution rapide et satisfaisante. En cas de mise en oeuvre d'un système PNR dans l'Union européenne ou dans un ou plusieurs de ses Etats membres faisant obligation aux transporteurs aériens de mettre à la disposition des autorités les données PNR des passagers dont le voyage inclut un vol à destination ou au départ de l'Union européenne, le DHS encourage activement, dans le strict respect du principe de réciprocité, les compagnies aériennes relevant de sa compétence à coopérer.
(6) Aux fins de l'application du présent accord, le DHS est réputé assurer un niveau adéquat de protection des données PNR transférées de l'Union européenne. Dans le même temps, l'UE n'interviendra pas, pour des motifs de protection des données, dans les relations entre les Etats-Unis et des pays tiers aux fins de l'échange d'informations sur les passagers.
(7) Les Etats-Unis et l'UE coopéreront avec les parties intéressées de l'industrie aéronautique pour mieux faire connaître les avis décrivant les systèmes de données PNR (y compris les pratiques en matière de collecte et de rectification) aux voyageurs et encouragera les compagnies aériennes à mentionner ces avis et à les intégrer dans le contrat officiel de transport.
(8) Au cas où l'UE constaterait que les Etats-Unis ont violé le présent accord, la seule voie de droit est la dénonciation de celui-ci et la rétractation de la présomption relative au niveau adéquat de protection visée au point 6. Au cas où ce sont les Etats-Unis qui constateraient que l'UE a violé le présent accord la seule voie de droit est la dénonciation de celui-ci et la révocation de la lettre du DHS.
(9) Le présent accord entrera en vigueur le premier jour du mois suivant la date à laquelle les parties se sont notifié l'accomplissement de leurs procédures internes nécessaires à cet effet. Le présent accord s'appliquera à titre provisoire à compter de la date de sa signature. Chaque partie peut dénoncer ou suspendre le présent accord à tout moment par notification par la voie diplomatique. L'accord cessera d'être applicable trente (30) jours à partir de la date de la notification de la dénonciation à l'autre partie à moins qu'une partie estime qu'un délai de notification plus court est indispensable pour préserver ses intérêts en matière de sécurité nationale ou de sécurité intérieure. Le présent accord et les obligations qui en découlent expirent et cessent d'avoir effet sept ans après la date de signature à moins que les parties décident d'un commun accord de le remplacer.
Le présent accord n'a pas pour objet de déroger à la législation des Etats-Unis d'Amérique ou de l'Union européenne ou de ses Etats membres, ni de la modifier. Il ne crée ni ne confère aucun droit ou avantage sur toute autre personne ou entité, privée ou publique.
Le présent accord est fait en double exemplaire en langue anglaise. Le présent accord est également rédigé en langues allemande, bulgare, danoise, espagnole, estonienne, finnoise, française, grecque, hongroise, italienne, lettone, lituanienne, maltaise, néerlandaise, polonaise, portugaise, roumaine, slovaque, slovène, suédoise et tchèque, et les parties approuvent ces versions linguistiques. Une fois approuvées, ces versions linguistiques font également foi.
Fait à Bruxelles, le 23 juillet 2007.
Fait à Washington, le 26 juillet 2007.
Lettre des Etats-Unis à l'UE
(Formule de politesse)
En réponse à la demande de renseignements de l'Union européenne et afin de réaffirmer l'importance que revêt pour le Gouvernement des Etats-Unis la protection de la vie privée, la présente lettre vise à expliquer la manière dont le Ministère américain de la Sécurité intérieure (Department of Homeland Security, ci-après dénommé " DHS ") assure la collecte, l'utilisation et le stockage des données des dossiers passagers (Passenger Name Record, ci-après dénommé " PNR "). Aucune des mesures exposées dans la présente lettre ne crée ni ne confère aucun droit ou avantage sur toute personne ou entité, privée ou publique, ni aucune voie de droit autre que celle prévue dans l'accord entre l'Union européenne et les Etats-Unis sur le traitement et le transfert de données PNR par les transporteurs aériens signé le... 2007 (ci-après dénommé " l'accord "). En revanche, cette lettre présente les assurances données par le DHS et expose les mesures que le DHS applique aux données PNR issues des vols entre les Etats-Unis et l'Union européenne (ci-après dénommées " données PNR de l'UE ") en vertu de la législation américaine.
I. Fins auxquelles les données PNR sont utilisées
Le DHS utilise les données PNR de l'UE uniquement aux fins : (1) de prévenir et de combattre le terrorisme et les délits qui y sont liés; (2) de prévenir et de combattre d'autres délits graves de nature transnationale, y compris la criminalité organisée; et (3) d'empêcher que des personnes se soustraient aux mandats et aux mesures de détention provisoire émis à leur encontre concernant les infractions décrites ci-dessus. Les données PNR peuvent être utilisées, le cas échéant, pour la protection des intérêts vitaux de la personne concernée ou d'autres personnes, ou dans le cadre d'une procédure pénale ou de toute autre manière requise par la loi. Le DHS informera l'UE de l'adoption de toute législation américaine qui affecte matériellement les déclarations faites dans la présente lettre.
II. Partage de données PNR
Le DHS partage les données PNR de l'UE uniquement aux fins énoncées au point I.
Le DHS traite les données PNR de l'UE comme des données sensibles et confidentielles conformément aux lois américaines et communique, s'il le juge utile, les données PNR uniquement aux autres autorités gouvernementales américaines chargées du maintien de l'ordre, de la sécurité publique ou de la lutte contre le terrorisme, pour servir dans le cadre des affaires relatives à la lutte contre le terrorisme, à la criminalité transnationale et à la sécurité publique (y compris lorsqu'il s'agit de menaces, de vols aériens, de personnes ou de lignes aériennes suscitant des préoccupations) qu'elles examinent ou analysent, conformément à la loi et en application des engagements écrits et de la législation américaine sur l'échange d'informations entre les autorités gouvernementales des Etats-Unis. L'accès est strictement et soigneusement limité aux affaires susmentionnées en fonction de leur nature.
Les données PNR de l'UE ne sont échangées avec d'autres autorités gouvernementales de pays tiers qu'après examen de l'utilisation ou des utilisations prévues par le destinataire et de sa capacité à assurer la protection des informations. En dehors des cas d'urgence, ces échanges de données se font en vertu d'engagements exprès entre les parties qui comprennent des dispositions de protection des données à caractère personnel comparables à celles qu'applique le DHS aux données PNR de l'UE visées au deuxième alinéa du présent point.
III. Types d'informations collectées
Le DHS peut obtenir la plupart des éléments informatifs contenus dans les données PNR en examinant le billet d'avion d'une personne et d'autres documents de voyage en vertu du pouvoir de contrôle aux frontières dont il est normalement investi, mais la capacité à recevoir ces données par voie électronique augmente de manière considérable la capacité du DHS à axer ses ressources sur les préoccupations de risque élevé, facilitant et préservant ainsi le trafic passagers légitime.
Types de données PNR de l'UE collectées :
1. Code repère du dossier PNR (record locator code)
2. Date de réservation/d'émission du billet
3. Date(s) prévue(s) du voyage
4. Nom(s)
5. Informations disponibles sur " les grands voyageurs " et les programmes de fidélisation (c'est-à-dire billets gratuits, surclassement, etc...)
6. Autres noms figurant dans le PNR, y compris nombre de voyageurs dans le PNR
7. Toutes les informations de contact disponibles (y compris les informations sur la source)
8. Toutes les informations disponibles relatives au paiement/à la facturation disponibles (les autres détails de l'opération liés à la carte de crédit ou au compte et n'ayant pas de lien avec l'opération relative au voyage non inclus)
9. Itinéraire de voyage pour le PNR spécifique
10. Agence de voyage/agent de voyage
11. Informations sur le partage de codes
12. Informations " PNR scindé/divisé "
13. Statut du voyageur (y compris confirmations et statut d'enregistrement)
14. Informations sur l'établissement des billets, y compris le numéro du billet, billets aller simple et données Automated Ticketing Fare Quote (prix du billet)
15. Toutes les informations relatives aux bagages
16. Informations relatives au siège, y compris numéro du siège occupé
17. Remarques générales, y compris données OSI, SSI et SSR
18. Toutes les informations APIS recueillies
19. Historique de tous les changements apportées au PNR assortis des numéros de rubriques 1 à 18
Dans la mesure où des données PNR de l'UE sensibles (à savoir les données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ainsi que les données relatives à la santé ou à la vie sexuelle de la personne), telles que précisées par les codes et les termes PNR que le DHS a déterminés en consultation avec la Commission européenne, sont incluses dans les types susmentionnés de données PNR de l'UE, le DHS a recours à un système automatisé qui filtre ces codes et termes PNR sensibles et n'utilise pas ces informations. A moins que l'accès à ces données ne relève d'un cas exceptionnel décrit à l'alinéa suivant, le DHS supprime les données PNR de l'UE sensibles dans les meilleurs délais.
Si cela est nécessaire dans un cas exceptionnel où la vie de la personne concernée ou d'autres personnes pourrait être mise en danger ou subir une atteinte grave, les fonctionnaires du DHS peuvent demander et utiliser des informations figurant dans les données PNR de l'UE autres que celles énumérées ci-dessus, y compris des données sensibles. Dans ce cas, le DHS tiendra un registre des accès à toute donnée sensible provenant des PNR de l'UE et supprimera ces données dans un délai de trente jours après que les fins pour lesquelles les données ont été consultées ont été atteintes et si leur conservation n'est pas exigée par la loi. Le DHS fera normalement savoir à la Commission européenne (DG JLS) dans les quarante-huit heures que ces données, y compris des données sensibles, ont été consultées.
IV. Droit d'accès et droit de regard
Le DHS a pris une décision politique visant à étendre les protections administratives prévues par la loi sur le respect de la vie privée (Privacy Act) aux données PNR stockées dans le système automatisé de ciblage (ATS) quels que soient la nationalité ou le pays de résidence de la personne concernée, y compris aux données relatives aux citoyens européens. Conformément au droit américain, le DHS tient aussi un système accessible aux personnes, quels que soient leur nationalité ou leur pays de résidence, afin de répondre aux personnes demandant des informations sur les données PNR ou la correction de celles-ci. Ces mesures sont accessibles sur le site Internet du DHS, www.dhs.gov
En outre, les données PNR fournies par une personne ou en son nom sont communiquées à la dite personne conformément à la loi américaine sur le respect de la vie privée (Privacy Act) et à la loi américaine sur la liberté de l'information (Freedom of Information Act, ci-après dénommé " FOIA "). La FOIA autorise toute personne (quels que soient sa nationalité ou son pays de résidence) à consulter les registres d'une agence fédérale des Etats-Unis, sauf si ces registres échappent en tout ou partie à la divulgation en vertu d'une dérogation prévue par ladite loi. Le DHS ne communique pas les données PNR au public, à l'exception des personnes concernées ou de leurs agents conformément à la législation américaine. Les demandes d'accès aux données personnellement identifiables contenues dans les PNR fournies par le demandeur peuvent être envoyées au FOIA/PA Unit, Office of Fields Operations, U.S. Customs and Border Protection, Room 5.5-C, 1300 Pennsylvania Avenue, NW, Washington, DC 20229 (tél. : (202) 344-1850 et fax : (202) 344-2791).
Dans certaines circonstances exceptionnelles, le DHS peut exercer ses pouvoirs au titre de la FOIA pour refuser ou retarder la divulgation de la totalité ou d'une partie du dossier PNR à un demandeur au premier chef, conformément au titre 5 du code des Etats-Unis, section 552 (b). En vertu de la FOIA, tout demandeur est habilité à contester dans le cadre d'une procédure administrative ou judiciaire la décision du DHS de ne pas communiquer les informations.
V. Sanctions
La législation des Etats-Unis prévoit des sanctions administratives, civiles et pénales en cas de violations des dispositions américaines en matière de respect de la vie privée et de divulgation non autorisée de dossiers des Etats-Unis. Les dispositions concernées comprennent entre autres le titre 18 du code des Etats-Unis, sections 641 et 1030 et le titre 19 du code des réglementations fédérales, section 103.34.
VI. Avis
Le DHS a fourni aux voyageurs des informations sur le traitement des données PNR auquel il procède, par le biais de publications dans le registre fédéral (Federal Register) et sur son site Internet. Le DHS fournira également aux compagnies aériennes un avis standard à mettre à la disposition du public concernant la collecte des données PNR et les voies de recours. Le DHS et l'UE coopéreront avec les parties intéressées de l'industrie aéronautique pour mieux faire connaître ces avis.
VII. Conservation des données
Le DHS conserve les données PNR de l'UE dans une base de données analytique active pendant sept ans, après quoi les données acquerront un statut inactif, non opérationnel. Les données ayant ce statut seront conservées pendant huit ans et il ne sera possible d'y accéder qu'avec l'accord d'un haut fonctionnaire du DHS désigné par le secrétaire à la sécurité intérieure et uniquement en réponse à une situation, une menace ou un risque déterminés. Les données PNR de l'UE devraient être détruites à la fin de cette période; la question de savoir si et quand il convient de détruire les données PNR collectées conformément à la présente lettre sera examinée par le DHS et l'Union européenne dans le cadre de discussions futures. Les données qui sont liées à un cas ou une enquête spécifiques peuvent être conservées dans une base de données active jusqu'à ce que le cas ou l'enquête soient archivés. Le DHS a l'intention de réexaminer l'effet de ces dispositions en matière de conservation sur les opérations et les enquêtes en se fondant sur l'expérience acquise durant les sept prochaines années. Le DHS discutera des résultats de cet examen avec l'UE.
Les périodes de conservation mentionnées ci-dessus s'appliquent aussi aux données PNR de l'UE collectées sur la base des accords entre l'UE et les Etats-Unis du 28 mai 2004 et du 19 octobre 2006.
VIII. Transmission
Compte tenu de nos récentes négociations, vous comprenez que le DHS est disposé à passer aussi rapidement que possible à un " système d'exportation " pour transmettre au DHS le PNR provenant des compagnies aériennes assurant des vols entre l'UE et les Etats-Unis. Treize compagnies aériennes ont déjà adopté cette approche. C'est aux transporteurs qu'il incombe d'amorcer le passage au système d'exportation; ils doivent pour cela mettre à disposition les ressources nécessaires à la migration de leurs systèmes et oeuvrer avec le DHS pour se mettre en conformité avec les exigences techniques de celui-ci. Le DHS passera à ce système de transmission des données par les transporteurs aériens dans les meilleurs délais, au plus tard le 1er janvier 2008 pour tous les transporteurs aériens qui ont mis en oeuvre un système conforme aux exigences techniques du DHS. Pour les transporteurs aériens qui n'ont pas mis en oeuvre un tel système, le système actuel reste en vigueur jusqu'à ce que les transporteurs aient mis en oeuvre un système compatible avec les exigences techniques du DHS pour la transmission des données PNR. Le passage à un système d'exportation ne confère toutefois pas aux compagnies aériennes de marge d'appréciation pour décider quelles données exporter, ni quand ou comment le faire. Le droit américain confère ce pouvoir de décision au DHS.
Dans des circonstances normales, le DHS recevra un transmission initiale des données PNR soixante-douze heures avant un départ prévu et recevra ensuite, le cas échéant, des mises à jour pour garantir l'exactitude des données. Veiller à ce que les décisions soient prises sur la base de données disponibles en temps utile et complètes constitue l'une des garanties les plus fondamentales pour la protection des données à caractère personnel et le DHS s'emploie avec les différents transporteurs à intégrer cette approche dans leurs systèmes d'exportation. Le DHS peut demander les données PNR plus de soixante-douze heures avant le départ prévu du vol lorsqu'il est indiqué qu'un accès rapide à ces données est nécessaire pour faire face plus facilement à une menace particulière contre un vol, une série de vols ou une ligne aérienne, ou à d'autres circonstances liées aux fins définies au point I. Dans l'exercice de ce pouvoir discrétionnaire, le DHS agira de façon judicieuse et proportionnée.
IX. Réciprocité
Au cours de nos récentes négociations, nous sommes convenus que le DHS compte sur ce qu'il ne lui est pas demandé de prendre, dans son système de données PNR, des mesures de protection des données qui soient plus strictes que celles appliquées par les autorités européennes dans leurs systèmes PNR nationaux. Le DHS ne demande pas aux autorités européennes d'adopter, dans leurs systèmes de données PNR, des mesures de protection des données qui soient plus strictes que celles appliquées par les Etats-Unis dans leur système de données PNR. Si cette attente n'est pas satisfaite, le DHS se réserve le droit de suspendre les dispositions pertinentes de sa lettre et de mener des consultations avec l'UE en vue de parvenir à une solution rapide et satisfaisante. En cas de mise en oeuvre d'un système de données PNR dans l'Union européenne ou dans un ou plusieurs de ses Etats membres faisant obligation aux transporteurs aériens de mettre à la disposition des autorités les données PNR des passagers dont le voyage inclut un vol entre les Etats-Unis et l'Union européenne, le DHS encourage activement, uniquement en vertu du principe de réciprocité, les compagnies aériennes relevant de sa compétence à coopérer.
Afin de renforcer la coopération policière et judiciaire, le DHS favorisera le transfert d'informations analytiques provenant des données PNR par les autorités compétentes américaines aux services de police et aux autorité judiciaires des Etats membres concernés et, le cas échéant, à Europol et Eurojust. Le DHS compte que l'UE et ses Etats membres encourageront de même leurs autorités compétentes à fournir des informations analytiques provenant des données PNR au DHS et aux autres autorités américaines concernées.
X. Réexamen
Le DHS et l'UE réexamineront à intervalles réguliers la mise en oeuvre de l'accord, de la présente lettre, des mesures et pratiques des Etats-Unis et de l'UE en matière de données PNR et tout cas d'accès à des données sensibles afin de contribuer au fonctionnement efficace de nos pratiques de traitement des données PNR et à la protection de la vie privée qu'elles assurent. Dans le cadre du réexamen, l'UE sera représentée par le membre de la Commission chargé de la justice, de la liberté et de la sécurité et le DHS sera représenté par le secrétaire à la sécurité intérieure, les deux parties pouvant également désigner, pour les représenter, un fonctionnaire qui soit acceptable par chacune d'entre elles. L'UE et le DHS détermineront ensemble dans le détail les modalités des réexamens.
Les Etats-Unis demanderont sur une base de réciprocité des informations sur les systèmes PNR des Etats membres dans le cadre de ce réexamen périodique, et les représentants des Etats membres disposant de systèmes PNR seront invités à participer aux discussions.
Nous ne doutons pas que cette explication vous a aidé à comprendre la manière dont nous traitons les données PNR de l'UE.
(Formule de politesse)
Lettre de l'UE aux Etats-Unis
(Formule de politesse)
Nous vous remercions vivement pour votre lettre adressée à la présidence du Conseil et à la Commission dans laquelle vous expliquez la manière dont le DHS traite les données PNR.
Les assurances que vous donnez à l'Union européenne telles qu'elles sont exposées dans votre lettre permettent à l'Union européenne d'estimer que, aux fins de l'accord international signé entre les Etats-Unis et l'Union européenne sur le traitement et le transfert des données PNR le... 2007, le DHS assure un niveau adéquat de protection des données PNR.
En se fondant sur cette appréciation, l'UE prendra toutes les mesures nécessaires pour décourager les organisations internationales ou les pays tiers de toute intervention dans les transferts de données PNR de l'UE vers les Etats-Unis. L'UE et ses Etats membres encourageront également leurs autorités compétentes à fournir des informations analytiques provenant des données PNR au DHS et aux autres autorités américaines concernées.
Nous nous réjouissons à la perspective de coopérer avec vous et avec l'industrie aéronautique pour faire en sorte que les passagers soient informés de la manière dont les gouvernements peuvent utiliser les informations les concernant.
(Formule de politesse)