La nature des données. Suite aux attentats du 11 septembre 2001, les Etats-Unis ont adopté une législation prévoyant que les compagnies aériennes communiquent aux services des douanes et de sécurité américains des informations relatives à leurs passagers sous peine de contrôles renforcés, d'amendes, ou d'interdiction du droit d'atterrir.
Baptisé Passenger Name Records ou PNR, le contenu du dossier varie selon les prestations offertes par les compagnies aériennes et demandées par le client. Il peut renfermer des renseignements sur l'agence de voyages auprès de laquelle la réservation est effectuée, l'itinéraire du déplacement, les indications du vol numéro de vol, date...), ou encore le contact à terre du passager (numéro de téléphone, etc.). Mais il peut aussi inclure le tarif, les modalités de paiement, le cas échéant, le numéro de carte bancaire, les réservations d'hôtel et de voiture à l'arrivée, les services demandés à bord (numéro de place affecté à l'avance, les repas végétarien, casher..., etc.), et ceux liés à la santé (diabétique, aveugle, sourd...).
Les mesures de protections : Ces dispositions pouvant entrer en conflit avec la législation communautaire en matière de protection des données personnelles (directive du 24 octobre 1995), la Commission européenne avait conclu en mai 2004 un accord avec les Etats-Unis, reconnaissant que les données relatives aux passagers bénéficiaient d'une « protection adéquate » (décision d'adéquation 2004/496).
Parallèlement, le 28 mai 2004, les Etats-Unis et l'Union européenne (UE) ont signé un accord international venant compléter la décision d'adéquation et permettant son entrée en vigueur. La Cour de justice européenne ayant annulé cette décision pour défaut de compétence en ce domaine, l'UE et les Etats-Unis devaient négocier une nouvelle base d'accord à partir du 1er octobre 2006. Date jusqu'à laquelle la Cour avait décidé, pour des raisons de sécurité juridique, de maintenir les effets de la décision d'adéquation jugée illégale.
Ce qui faut retenir :
• L'accord du 5 octobre fait suite à l'avis du Groupe de travail sur la protection des données dit G29 (organe consultatif de l'UE sur la protection des donnés peronnels), rendu le 27 septembre 2006, faisant état de l'urgence de la situation, l'accord international en vertu duquel les compagnies aériennes européennes pouvaient transférer de telles données aux autorités américaines ayant été annulé par un jugement de la Cour de justice européenne (CJCE) du 30 mai 2006.
• Dans ce compromis, l'UE a concédé que :
- les données collectées par le Département à la sécurité intérieure américain peuvent être transmises à d'autres agences gouvernementales américaines en charge de la lutte antiterrorisme (FBI, CIA, etc.).
- En contrepartie d'un engagement de la part de l'administration américaine à ce que tous les nouveaux destinataires de ces données PNR garantissent les mêmes conditions et niveau de protection des données que l'autorité des douanes américaines.
