Dans un courrier daté du 19 mars 2015 et adressé au président de la commission LIBE, l’eurodéputé Claude Moraes (S&D), la présidente du groupe de travail Article 29, Isabelle Falque-Pierrotin, fait un certain nombre de recommandations au sujet du projet de système européen d’échange de données des dossiers passagers (PNR).

Le groupe de travail, qui réunit les représentants des autorités nationales en charge de la protection des données, a en effet pris le soin d’analyser le projet de rapport que l’eurodéputé Timothy Kirkhope vient de soumettre à ses pairs de la commission LIBE dans l’objectif de débloquer le dossier au Parlement européen, ainsi que le demandent avec insistance les Etats membres dans la foulée des attentats qui ont frappé Paris en janvier dernier.

Le groupe Article 29, qui n’est, sur le principe, ni pour ni contre un système de collecte de données PNR tant qu’il est conforme aux droits fondamentaux, considère que "l’ampleur et la nature indiscriminée du traitement des données" dans le projet de PNR européen pourraient "gravement miner" les droits qui découlent des articles 7 et 8 de la Charte des Droits fondamentaux de l’UE.

Certes, note la présidente du groupe dans sa lettre, "il y a des améliorations par rapport au projet initial" en ce qui concerna la protection des données. Mais Isabelle Flaque-Pierrotin attire l’attention des parlementaires sur un certain nombre de points critiques.

En premier lieu, le groupe de travail Article 29 relève que "la nécessité d’un système de PNR européen doit encore être justifiée". "Une argumentation précise et des preuves manquent encore de ce point de vue", indique la lettre. Dans un document annexé à la lettre, il est précisé qu’il conviendrait par exemple de clarifier pourquoi les instruments existants ne sont pas suffisants pour lutter contre le terrorisme. Il s’agirait aussi d’expliquer en quoi des alternatives moins intrusives ne permettent pas d’atteindre l’objectif de prévenir et de détecter des crimes terroristes, ainsi que d’enquêter et d’engager des poursuites à leur sujet. Les auteurs de cette missive voudraient aussi que le législateur justifie en quoi l’établissement d’un PNR européen est la solution adéquate, et donne des exemples concrets de l’impact que pourrait avoir ce système sur le résultat d’enquêtes : autrement dit, il s’agit de démontrer et d’expliquer l’efficacité supposée du système, ainsi que sa valeur ajoutée.

Les représentants des autorités nationales de protection des données estiment aussi que des restrictions supplémentaires sont nécessaires pour garantir que le traitement des données est bien proportionnel à l’objectif poursuivi, et ce notamment du fait que le rapport sur lequel planche le Parlement européen prévoit désormais d’inclure les vols intra-UE. Cette décision "augmente énormément le nombre de passagers concernés par une intrusion dans leurs droits", est-il en effet indiqué dans l’annexe  à la lettre. Le groupe Article 29 recommande ainsi de "limiter la collecte en référence à des critères spécifiques afin que le système garantisse le respect des droits fondamentaux des individus et qu’il tienne compte de l’arrêt de la CJUE sur la conservation des données". Il s’agirait, est-il précisé dans l’annexe, de restreindre la collecte à des données relatives à une période donnée et/ou une zone géographique donnée et/ou un cercle de personnes particulières susceptibles d’être impliquées dans des délits graves, ou bien de personnes susceptibles de contribuer à la prévention, la détection ou la poursuite de tels délits.

En ce qui concerne l’usage fait des données collectées, le groupe de travail estime qu’il devrait être limité au "strict nécessaire". Le groupe Article 29 estime ainsi que la portée des infractions concernées devrait être réduite. Sur ce point, la décision du rapporteur de limiter le champ d’application du système aux "infractions transnationales graves" est saluée dans l’annexe à la lettre, même si le groupe Article 29 juge "longue, large et parfois très vague" la liste des infractions mentionnées.

La période de conservation des données devrait être raccourcie et clairement justifiée, estime encore le groupe de travail qui juge "disproportionnée" la conservation de données, certes anonymisées, pendant 4 ou 5 ans.

Le groupe article 29 insiste aussi sur la nécessité de présenter dès que possible une évaluation détaillée de l’efficacité du système PNR. Ses membres plaident enfin pour l’insertion d’une clause de réexamen périodique dans la directive.

Sur bien des points, le groupe Article 29 fait référence à l’arrêt de la CJUE invalidant la directive sur la conservation des données. La Commission avait elle aussi passé au crible de cet arrêt datant d’avril 2014 le projet de rapport mis sur la table par Timothy Kirkhope dans une lettre datée du 16 mars 2015. Frans Timmermans et Dimitris Avramopoulos  y déclaraient qu'une directive sur l'utilisation des données PNR pour la prévention, la détection, l'investigation et la poursuite des infractions terroristes et la criminalité transnationale grave peut être interprétée d'une manière "qui respecte les exigences juridiques de la Charte des droits fondamentaux tout en fournissant un nouvel outil efficace au niveau de l'UE pour la lutte contre ces infractions". Mais les deux commissaires soulignaient aussi que "le législateur de l'UE devra s'assurer que les choix faits quant à la portée de l'application du système PNR de l'UE sont dûment justifiés et que les garanties nécessaires sont en place pour garantir la légalité de tout stockage, l'analyse, le transfert et l'utilisation des données PNR".