Une recrudescence des demandes de transfert d'informations personnelles
Les entreprises françaises constatent une augmentation des demandes de d'information impliquant un transfert de données vers les Etats-Unis.
Ces "demandes de communication de données soulèvent des problèmes d'application des règles françaises en matière d'entraide judiciaire internationale. Elle contreviennent également aux dispositions de la loi « Informatique et Libertés » relatives à l'information et au consentement des personnes, à la proportionnalité du traitement effectué, ainsi qu'aux transferts de données hors de l'Union Européenne.
De manière préoccupante, ces entreprises expriment également des doutes quant à la protection de leurs secrets industriels et commerciaux, certaines d'entre elles évoquant de réelles craintes en matière d'intelligence économique.
Face à l'augmentation du nombre de sociétés concernées qui contactent aujourd'hui la CNIL, celle-ci a tenu à attirer l'attention du gouvernement sur ce point. Une réflexion inter-ministérielle devrait prochainement être engagée."
Les entreprises inquiètes du développement des règles leur imposant la communication de données personnelles aux Etats-Unis 15 janvier 2008 CNIL
La CNIL a annoncé une décision en 2009 sur sa politique en la matière
Le Groupe "Article 29"
La CNIL et ses homologues européens prolongent ces réflexions nationales sur le plan européen, dans le cadre du Groupe dit « de l'article 29 », le groupe de coordination des CNIL européennes institué par la directive Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données
Protection des données ec.europa.eu
Décision de la Commission relative à la constatation du caractère adéquat de la protection des données dans les pays tiers ec.europa.eu
France : LOI n° 2007-301 du 5 mars 2007 : pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel concernant les autorités de contrôle et les flux transfrontières de données.
UE - Etats-Unis : Transfert des données des dossiers passagers (PNR)
Les compagnies aériennes ont l’obligation de communiquer aux services des douanes et de sécurité américains les données PNR (Passenger Name Record - itinéraire du déplacement, vols concernés, contacts à terre du passager, tarifs accordés, état du paiement effectué, numéro de carte bancaire, ainsi que les services demandés à bord tels que des exigences alimentaires spécifiques, végétarien, asiatique, cascher, etc. ou des services liés à l’état de santé) de leurs passagers à destination des Etats-Unis, sous peine de contrôles renforcés, d’amendes et du refus du droit d’atterrir.
La loi américaine du 19 novembre 2001 sur la sûreté de l’aviation et des transports (Aviation and Transportation Security Act) a institué pour les compagnies aériennes assurant des liaisons de passagers au départ, à destination ou via les États-Unis l’obligation de donner aux autorités américaines, à leur demande, accès aux données PNR figurant dans leurs systèmes de réservation et de contrôle des départs.
Le 16 décembre 2003, la Commission européenne fit une proposition sur le transfert des données PNR en faveur d'une approche européenne commune (COM/826, décembre 2003). Un premier accord entre l'Europe et les Etats-Unis fut signé le 28 mai 2004.
Une directive du Conseil 2004/82/EC du 29 avril 2004 obligea chaque Etat membre à transmettre les données API (advanced passenger infomation).
L’accord conclu entre l’Union européenne et les États-Unis en 2006 visait à satisfaire aux exigences en matière de sûreté et de protection des données.
En vertu de l' Accord intervenu le 19 octobre 2006 entre l'UE et les Etats-Unis, il devint possible aux autorités américaines, « en cas de nécessité », d’avoir accès à des données dites « sensibles », c’est à dire pouvant révéler l’origine raciale, ethnique, les opinions politiques, l’état de santé des personnes, malgré un filtrage initialement prévu.
Dans son rapport 2006, la CNIL déclarait :
(...) Cependant, cet accord est loin d’offrir un niveau de protection adéquat des données PNR transmises. On ne peut que regretter l’insuffisance de dispositions claires et proportionnées relatives au partage d’informations, de conservation, d’envois supplémentaires de données, de contrôle par les autorités de protection des données, et s’inquiéter de ce que la mise en œuvre de nombreuses dispositions soient soumises à la discrétion des Etats-Unis.
L'accord de 2006 a expiré le 31 juillet 2007, et a été remplacé par l'accord du 23 juillet 2007 qui met un terme à la période d’incertitude ouverte par la décision de la Cour de Justice des Communautés Européennes du 30 mai 2006 annulant le précédent accord conclu le 28 mai 2004.
- Décision 2007/551/PESC/JAI du Conseil du 23 juillet 2007 relative à la signature, au nom de l'Union européenne, d'un accord entre l'Union européenne et les États-Unis d'Amérique sur le traitement et le transfert de données des dossiers passagers (données PNR) par les transporteurs aériens au ministère américain de la sécurité intérieure (DHS) (accord PNR 2007)
- Accord entre l'Union européenne et les États-Unis d'Amérique sur le traitement et le transfert de données des dossiers passagers (données PNR) par les transporteurs aériens au ministère américain de la sécurité intérieure (DHS) (accord PNR 2007)
Signé à Bruxelles, le 23 juillet 2007, et à Washington, le 26 juillet 2007
- Accord 27.10.2006 entre l'Union Européenne et les États-Unis d'Amérique sur le traitement et le transfert de données PNR par des transporteurs aériens au ministère américain de la sécurité intérieure
Réserves sur la création d'un PNR européen
Le 13 juillet 2006, le programme de la Haye (Renforcer la Liberté, Sécurité et Justice dans l'Union européenne) lance un appel à la création d'un PNR européen.
A partir de février 2007, une consultation est organisée concernant le projet de proposition-cadre du commissaire européen Franco Frattini, lequel fait une proposition-cadre devant la Commission le 7 novembre 2007.
Dans une résolution du 20 novembre 2008, le Parlement européen déclare qu'il "maintient ses fortes réserves quant à la nécessité et à la valeur ajoutée de la proposition de création d'un système PNR (passenger name record) européen et quant aux garanties qui y sont associées".
Fiche PNR (Passenger Name Record) CUEJ europe 2008
Cette résolution a été adoptée par le Sénat français le 30 mai 2009.
A bien des égards, l'application de l'accord de 2007 n'a pas levé les objections présentées au moment de sa discussion en France, (voir la communication au Sénat de Monsieur Hubert Haenel : Nouvel accord avec les États-Unis sur le traitement et le transfert des données des dossiers passagers 11 juillet 2007) où il fut affirmé que la France subissait en la matière le "diktat" américain.
Alex Türk, président de la Commission Nationale de l'Informatique et des Libertés (CNIL) avait fait connaître son opinion dans un communiqué au titre explicite intitulé : « Le nouvel accord Europe/États-Unis sur les données des passagers aériens : la surenchère américaine s'opère au détriment des citoyens européens ».
L'échange d'informations avec les États-Unis, et notamment les données des passagers (PNR) dans le cadre du Programme de Stockhom qui fixe le cadre de travail de l'Union Européenne, notamment en matière de coopération judiciaire pour la période 2010 à 2014, fait également l'objet d' interrogations de la part des parlementaires européens.
A juste titre : U.S. Department of Homeland Security (DHS) Report shows lack of compliance with the EU-US PNR agreement 14 January, 2009 www.edri.org
Utilisation des données des dossiers passagers (Passenger Name record, PNR) à des fins répressives : prudence française
Dans le texte adopté le 18 octobre 2009 par l'Assemblée Nationale sur la proposition de décision cadre du Conseil relative à l’utilisation des données des dossiers passagers (Passenger Name record, PNR) à des fins répressives (COM [2007] 654 final/n° E 3697), le législateur :
2. Estime que certaines questions ne sont pas résolues et souhaite, dans le cadre des débats menés en 2009 ;
– que le plein respect des droits fondamentaux et, notamment, du droit à la vie privée et du droit à la protection des données soit assuré à chaque étape de la collecte et du traitement des données ;
– que la durée de conservation soit ramenée à un délai raisonnable compris entre trois et six années ;
– que la question des données sensibles fasse l’objet de protections spécifiques et cohérentes, quelle que soit l’option qui sera retenue entre l’exclusion de toute utilisation ou la possible utilisation à des fins d’enquêtes ou de poursuites en cours ;
– qu’un encadrement plus strict soit obtenu s’agissant des transferts de données vers des États tiers, de sorte qu’un État membre ne puisse être source de fuite de masses de données brutes vers un État tiers ;
– que les problèmes soulevés par les futures demandes d’accès aux données PNR à titre de réciprocité soient étudiés.
Rapport de Monsieur Guy Geoffroy sur la proposition de décision-cadre du Conseil relative à l’utilisation des données des dossiers passagers (Passager Name record, PNR) à des fins répressives (COM [2007] 654 final/N° E 3697), Assemblée Nationale, 6 octobre 2009
Rapport de Monsieur Yves Détraigne sur la proposition de décision-cadre relative à l' utilisation de données des dossiers passagers (Passenger Name Record - PNR) à des fins répressives (E 3697), voir le dossier législatif du Sénat
___________________________
European Union Safe Harbor Overview
"The European Commission’s Directive on Data Protection went into effect in October 1998, and would prohibit the transfer of personal data to non-European Union nations that do not meet the European "adequacy" standard for privacy protection. While the United States and the European Union share the goal of enhancing privacy protection for their citizens, the United States takes a different approach to privacy from that taken by the European Union. The United States uses a sectoral approach that relies on a mix of legislation, regulation, and self-regulation." (...) "In order to bridge these different privacy approaches and provide a streamlined means for U.S. organizations to comply with the Directive, the U.S. Department of Commerce in consultation with the European Commission developed a "safe harbor" framework".
European Union Safe Harbor Overview
The safe harbor framework is set forth in a set of seven privacy principles, 15 frequently asked questions and answers (FAQs), the European Commission's adequacy decision, the exchange of letters between the Department and the European Commission, and letters from the Department of Transportation and Federal Trade Commission on their enforcement powers.
This year’s International Conference on Cross Border Data Flows, & Privacy took place on November 16 - 18 2009 : the United States, the European Commission and the Article 29 Working Party on Data Protection met to review the latest developments in the U.S.-EU Safe Harbor Framework
Data Privacy links www.export.gov
A report concerning Passenger Name Record Information derived from flights between the US and the European Union (18.12.2008) U.S. Department of Homeland Security (DHS)