Lutte contre le terrorisme et les formes graves de criminalité : la CJUE se prononce sur l'utilisation des données des dossiers passagers

En l'absence de menace terroriste réelle et actuelle ou prévisible à laquelle fait face un État membre, le droit de l'Union s'oppose à une législation nationale prévoyant le transfert et le traitement des données PNR (Passenger Name Record) des vols intra-UE ainsi que des transports effectués par d'autres moyens à l'intérieur de l'Union.

Le transfert ainsi que le traitement automatisé généralisé et indifférencié des données PNR sont-ils compatibles avec les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel ? À cette question, la Cour de justice a répondu, estimant que le respect des droits fondamentaux exige une limitation des pouvoirs prévus par la directive PNR au strict nécessaire.

Dans son arrêt rendu le 21 juin 2022, en premier lieu, elle constate que cette directive comporte des ingérences d'une gravité certaine dans les droits garantis aux articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne (ci-après « la Charte »), dans la mesure notamment où elle vise à instaurer un régime de surveillance continu, non ciblé et systématique, incluant l'évaluation automatisée de données à caractère personnel de l'ensemble des personnes faisant usage de services de transport aérien. Et les juges européens de rappeler que la possibilité pour les États membres de justifier une telle ingérence doit être appréciée en mesurant sa gravité et en vérifiant que l'importance de l'objectif d'intérêt général poursuivi est en relation avec cette gravité.

Ils concluent que le transfert, le traitement et la conservation des données PNR prévus par la directive peuvent être considérés comme étant limités au strict nécessaire aux fins de la lutte contre les infractions terroristes et les formes graves de criminalité, à condition que les pouvoirs prévus par la directive fassent l'objet d'une interprétation restrictive. À cet égard, l'arrêt précise, notamment, que :

- le système établi par la directive PNR ne doit couvrir que les informations clairement identifiables et circonscrites dans les rubriques figurant dans l'annexe I de celle-ci, lesquelles sont en rapport avec le vol effectué et avec le passager concerné ;

- l'application du système établi par la directive PNR doit être limitée aux infractions terroristes et aux seules formes graves de criminalité présentant un lien objectif, à tout le moins indirect, avec le transport aérien des passagers ;

- l'éventuelle extension de l'application de la directive PNR à tout ou partie des vols intra-UE, qu'un État membre peut décider en faisant usage de la faculté prévue par cette directive, doit être limitée au strict nécessaire ;

En deuxième lieu, la Cour considère que la directive PNR, lue à la lumière de la Charte, s'oppose à une législation nationale qui autorise le traitement des données PNR recueillies conformément à cette directive à des fins autres que celles expressément visées à l'article 1er, § 2, de la directive.

En troisième lieu, s'agissant du délai de conservation des données PNR, elle a jugé que l'article 12 de la directive PNR, lu à la lumière des articles 7 et 8 ainsi que de l'article 52, § 1, de la Charte, s'oppose à une législation nationale qui prévoit une durée générale de conservation de ces données de 5 ans, applicable indifféremment à tous les passagers aériens.

En quatrième lieu, enfin, la Cour juge que le droit de l'Union s'oppose à une législation nationale qui prévoit, en l'absence de menace terroriste réelle et actuelle ou prévisible à laquelle fait face l'État membre concerné, un système de transfert, par les transporteurs aériens et les opérateurs de voyage, ainsi que de traitement, par les autorités compétentes, des données PNR de l'ensemble des vols intra-UE et des transports effectués par d'autres moyens à l'intérieur de l'Union, en provenance ou à destination de cet État membre ou bien encore transitant par celui-ci, aux fins de la lutte contre les infractions terroristes et les formes graves de criminalité.