Message relatif à loi sur les données relatives aux passagers aériens

1 Contexte

2 Procédure préliminaire, consultation comprise

3 Comparaison avec le droit étranger, notamment européen

UE

Plusieurs États membres de l’UE ont traité des données PNR en vertu de leur droit interne avant 2016 déjà. Le 27 avril 2016, le Parlement européen et le Conseil ont adopté la directive (UE) 2016/681. Entrée en vigueur le 24 mai 2016, celle‑ci a pour but d’harmoniser les règles de droit des États membres de l’UE en lien avec le PNR, d’éliminer l’insécurité du droit, de combler les lacunes en matière de sécurité et de garantir le même niveau de protection des données pour tous les États. Le Danemark est le seul État membre à ne pas être lié par cette directive¹⁶. Toutefois, il s’est depuis volontairement rattaché à l’échange d’informations PNR des autres États membres de l’UE.

La directive harmonise notamment la responsabilité des UIP, en charge de l’exploitation opérationnelle dans les États membres de l’UE (art. 4), le traitement autorisé des données (notamment à l’art. 6) et les obligations imposées aux transporteurs aériens concernant la communication de données (art. 8).

La Commission européenne a réexaminé la directive PNR deux ans plus tard et a présenté les résultats au Parlement européen et au Conseil dans son rapport du 24 juillet 2020¹⁷. Elle y conclut que le PNR peut être utilisé comme un instrument efficace dans la lutte contre le terrorisme et la grande criminalité. Sans l’utilisation des données PNR, il n’aurait pas été possible de procéder à des investigations approfondies ni à des arrestations. Les États membres de l’UE confirment par ailleurs qu’une durée de conservation de cinq ans des données PNR indépendamment de tout soupçon est nécessaire d’un point de vue opérationnel. Ils ajoutent néanmoins que l’amélioration de la qualité des données reste un défi.

Par son arrêt du 21 juin 2022, la CJUE a confirmé la conformité de la directive PNR avec la Charte des droits fondamentaux, interprétant les dispositions de la directive comme conformes aux normes pertinentes de la charte.

Jusqu’à présent, l’UE a conclu des accords sur l’échange de données PNR avec les États-Unis¹⁸ et l’Australie¹⁹.

En 2017, la CJUE a examiné des questions sur un tel accord entre l’UE et le Canada dans le cadre d’un avis de droit²⁰. La cour exigeait notamment du Canada qu’il efface les données PNR de l’UE directement après le départ de la personne concernée. L’accord avec le Canada n’a toujours pas été conclu.

En février 2020, la Commission européenne a été chargée d’entamer des négociations avec le Japon.

La même année, elle a manifesté son intérêt à la Suisse de conclure un accord bilatéral relatif aux données PNR. Fin 2020, la Commission européenne et la Suisse, représentée par le DFAE, l’OFAC et fedpol, ont commencé des discussions exploratoires, qui ont été très constructives.

En revanche, l’intention de la Suisse de tenir compte de l’arrêt de la CJUE, notamment la réduction de la durée de conservation des données et le retrait de certaines catégories d’infractions, a reçu un écho favorable auprès de la Commission européenne.

Le 8 février 2023, la Commission européenne a proposé des négociations sur un accord bilatéral relatif au PNR à la Suisse, à la Norvège et à l’Islande. Elle entend les mener parallèlement mais séparément avec ces trois États associés à Schengen. Pour ce faire, la Suisse a besoin d’un mandat de négociations avec l’UE. Lors de sa séance du 1^er novembre 2023, le Conseil fédéral l’a adopté sous réserve de l’approbation des Commissions de politique extérieure des Chambres fédérales et de la Conférence des gouvernements cantonaux. Celles‑ci ont approuvé le mandat de négociations.

Royaume-Uni

Le Royaume-Uni a été le premier État membre de l’UE à disposer d’un système PNR fonctionnel. Il traite des données PNR depuis 2004.

Durant les négociations sur le Brexit, le Royaume-Uni et l’UE sont convenus de poursuivre l’échange de données PNR. Pour ce faire, ils ont négocié un accord relatif au PNR et l’ont intégré à l’art. 542 ss de leur accord de commerce et de coopération²¹.

La Suisse a conclu un accord de police²² avec le Royaume-Uni après le Brexit. Cependant, comme il ne contient aucune base d’échange complet de données PNR, la Suisse concluera un autre accord relatif au PNR avec le Royaume-Uni.

États-Unis

Suite aux attentats du 11 septembre 2001, les États-Unis ont élaboré l’Aviation and Transportation Security Act²³, contraignant ainsi les entreprises de transport aérien à leur octroyer l’accès aux données PNR de tous les vols à destination ou en provenance du territoire américain ou transitant par celui‑ci.

Le premier accord sur l’échange de données PNR que les États-Unis ont conclu avec la Suisse est entrée en vigueur le 29 mars 2005, mais uniquement pour une durée de trois ans et demi en raison de sa validité limitée. L’accord ultérieur est entré en vigueur le 23 décembre 2008²⁴.

En vertu de cet accord, le gouvernement américain s’engage à garantir pour les données PNR collectées sur les vols reliant les États-Unis et la Suisse la même protection que celle fournie par l’accord conclu en 2007 entre les États-Unis et l’UE²⁵.

Canada

Depuis 2009, les données PNR et API sur les vols de la Suisse à destination du Canada sont communiquées aux autorités canadiennes compétentes. La base légale est le protocole d’entente entre l’Agence des services frontaliers du Canada et l’Office fédéral de l’aviation civile de la Suisse concernant l’Information préalable sur les voyageurs et le Dossier passager du 17 mars 2006²⁶.

Les données PNR peuvent être uniquement utilisées pour l’identification de personnes s’il y a lieu de craindre que ces dernières:

• – importent des marchandises liées au terrorisme ou à des infractions terroristes;

• – commettent d’autres infractions pénales graves de nature transnationale (dont le crime organisé);

• – ont un lien possible avec de tels crimes.

Les autorités canadiennes pseudonymisent les données PNR après 24 mois et les effacent après 42 mois, dans la mesure où la personne concernée ne fait pas l’objet d’une procédure.

Cet accord laisse entrevoir à la Suisse la possibilité de recevoir les données PNR et API en provenance du Canada dès que la base légale nécessaire au traitement de données PNR aura été créée en Suisse.

4 Présentation du projet

Soixante-neuf États dans le monde utilisent les données PNR: les États-Unis, le Canada et le Royaume-Uni disposent d’un tel instrument depuis près de 20 ans et les États membres de l’UE depuis quelques années.

Grâce à la loi sur les données relatives aux passagers aériens, la Suisse utilisera aussi le PNR comme instrument éprouvé pour lutter contre la grande criminalité et ainsi remplir ses obligations internationales.

Les trois résolutions du Conseil de sécurité de l’ONU²⁷, qui enjoignent aux États membres de mettre en place un système PNR afin de lutter contre le terrorisme, sont particulièrement contraignantes à cet égard.

De plus, l’Organisation de l’aviation civile internationale (OACI) a établi, sur mandat du Conseil de sécurité de l’ONU et en collaboration avec l’Organisation mondiale des douanes (OMD), les gouvernements des États membres, les transporteurs aériens et les prestataires, des normes sur la communication des données relatives aux passagers aériens. Ces normes sont contraignantes pour tous les États membres de l’OACI, et donc aussi pour la Suisse.

Différents États, dont plusieurs partenaires économiques importants de la Suisse, demandent depuis longtemps la transmission de données PNR aux entreprises de transport aérien ayant des liaisons aériennes à destination de la Suisse. Les entreprises de transport aérien opérant des vols au départ de la Suisse peuvent aussi être obligées de communiquer des données. Depuis peu, plusieurs États envisagent de retirer les droits d’atterrissage s’ils ne reçoivent pas préalablement les données PNR. La Suisse risque donc d’être beaucoup moins incluse, à moyen et à long terme, au trafic aérien international. L’importance de ce dernier pour la Suisse se reflète dans le nombre de passagers aériens recensé chaque année dans les aéroports suisses sur des vols de ligne et charters internationaux.

Nombre de passagers aériens qui ont quitté le territoire suisse et qui sont entrés en Suisse sur des vols de ligne et charters

*2023: le nombre de passagers est provisoire.

Source: OFAC

Enfin, pour les États-Unis, le traitement des données relatives aux passagers aériens est une condition au maintien de la Suisse dans le VWP (cf. ch. 1.1).

Le projet de loi sur les données relatives aux passagers aériens s’inspire de la directive PNR de l’UE et prend en compte des contenus essentiels de l’arrêt de la CJUE, dans la mesure où ils ont été demandés dans le cadre de la consultation et qu’ils ne remettent pas fondamentalement en question l’efficacité du PNR.

5 Commentaire des dispositions

Section 1 Objet

Art. 1 Objet et but

Cette disposition présente l’essentiel de la loi et le but poursuivi par celle-ci.

Al. 1

Let. a

Les entreprises de transport aérien doivent communiquer les données relatives aux passagers aériens à l’UIP pour tous les vols à destination de la Suisse ou partant de la Suisse vers l’étranger.

Pour elles, cette obligation n’a rien de totalement nouveau. Les entreprises de transport aérien la remplissent déjà depuis de nombreuses années, par exemple vis-à-vis des États-Unis, du Canada et des États membres de l’UE. Seule nouveauté: elles doivent communiquer les données relatives aux passagers aériens également à l’UIP.

Let. b

En plus des obligations des entreprises de transport aérien, la loi règle également le traitement des données relatives aux passagers aériens par les services compétents.

Les données relatives aux passagers aériens peuvent être traitées dans le but de combattre la grande criminalité (cf. al. 4).

Let. c

La présente loi définit également l’organisation du service national qui sera chargé du traitement des données relatives aux passagers aériens en Suisse. La désignation usuelle de ce service au niveau international, unité d’information passagers, UIP en abrégé, doit aussi être utilisée en Suisse.

L’UIP doit être rattachée à fedpol (cf. art. 27) et doit être composée de collaborateurs de la Confédération et des cantons (cf. art. 28).

Al. 2

Le but de la présente loi consiste à soutenir les autorités de la Confédération et des cantons dans la lutte contre la grande criminalité (cf. annexe 2).

Les autorités qui bénéficient des prestations de l’UIP en vertu de la présente loi sont les organes de police et les autorités de poursuite pénale de la Confédération et des cantons, les services de renseignements fédéraux, à savoir le SRC et le service de renseignement de l’armée, ainsi que les autorités d’exécution cantonales visées à l’art. 9 LRens.

Les autorités de poursuite pénale de la Confédération englobent aussi notamment le Service fédéral de sécurité (art. 4, let. b, de la loi du 19 mars 2010 sur l’organisation des autorités pénales, LOAP³⁰)³¹.

Al. 3

Les entreprises de transport aérien ne sont définies nulle part dans le droit en vigueur, raison pour laquelle elles sont décrites plus en détail ici. Cette définition se fonde sur celle prévue dans le cadre de la loi du 25 septembre 2020 sur le CO₂³² (art. 2, let. i). Est considérée comme entreprise de transport aérien toute organisation titulaire d’une autorisation d’exploitation ou d’une autre autorisation équivalente l’habilitant à transporter des personnes par aéronef à des fins commerciales.

N’est pas considérée comme entreprise de transport aérien toute l’aviation légère, c’est-à-dire les vols d’école, d’entraînement et de contrôle, les vols touristiques, les sports aériens ainsi que les vols privés. Sont également exclus du domaine d’application de la présente loi les vols militaires et les vols d’État, ainsi que les vols de recherche et de sauvetage.

La définition des entreprises de transport aérien est d’autant plus importante que celles-ci sont tenues de se conformer à la présente loi. Les entreprises de transport aérien suisses et étrangères ont l’obligation de communiquer les données relatives aux passagers aériens à l’UIP à temps et conformément aux prescriptions techniques (cf. art. 2 et 3). En outre, elles doivent informer leurs passagers de manière adéquate sur le traitement des données de ces derniers en vertu de la présente loi (cf. art. 4). L’art. 31 prévoit des sanctions en cas de violation de ces obligations.

Al. 4

L’annexe 1 de la présente loi spécifie les données relatives aux passagers aériens qui doivent être communiquées par les entreprises de transport aérien et traitées selon la présente loi.

Les données relatives aux passagers aériens se subdivisent en 19 catégories différentes, lesquelles forment un ensemble de données, autrement dit un dossier passager. Les catégories correspondent à la directive PNR et tiennent compte dans leur formulation de la teneur que la CJUE exige des États membres dans son arrêt du 21 juin 2022.

Les entreprises de transport aérien recueillent les données relatives aux passagers aériens au moment de la réservation des billets d’avion. Elles ont besoin de ces données pour le bon déroulement du vol. Leur traitement au sens de la présente loi se limite aux données déjà disponibles et est donc simplement décalé en aval.

Les données API constituent un cas à part, car elles doivent, pour autant qu’elles soient disponibles, être communiquées par les entreprises de transport aérien comme une partie de l’ensemble des données relatives aux passagers aériens dans la catégorie 18. Les données API ne sont pas recueillies lors de la réservation, mais doivent être relevées par les entreprises de transport aérien lorsque l’État le demande (cf. art. 104 LEI). C’est pourquoi elles doivent être communiquées à l’UIP dans la catégorie 18 du PNR seulement si elles sont disponibles.

La plupart des 19 catégories de données ne présentent pas de données qui permettent d’identifier une personne. Comme il ne s’agit pas de données personnelles (cf. art. 5, let. a, LPD), leur traitement n’entre pas dans le domaine d’application de la LPD révisée (cf. art. 2 LPD).

Des données personnelles figurent dans les catégories suivantes de l’ensemble de données relatives aux passagers aériens:

• – catégorie 4: prénom(s) et nom(s) du passager;

• – catégorie 5: adresse et coordonnées, y compris numéro de téléphone et adresse électronique du passager;

• – catégorie 6: indications relatives à la carte de crédit utilisée et adresse de facturation;

• – catégorie 8: programme «grands voyageurs»: statut et numéro du passager;

• – catégorie 9: nom de la personne responsable du dossier à l’agence de voyage qui a effectué la réservation du billet;

• – catégorie 12: informations sur les personnes non accompagnées de moins de 18 ans, nom et coordonnées de la personne présente au départ et à l’arrivée, et de l’agent présent au départ et à l’arrivée;

• – catégorie 17: nombre, prénom(s) et nom(s) des autres voyageurs figurant dans le dossier passager;

• – catégorie 18: données API (cf. art. 104, al. 3, LEI) qui sont également des données personnelles: (a) l’identité des passagers (nom, prénom, sexe, date de naissance, nationalité); (b) le numéro, l’État émetteur, le type et la date d’échéance du document de voyage utilisé; (c) le numéro, l’État émetteur, le type et la date d’échéance du visa ou du titre de séjour utilisé, pour autant que l’entreprise de transport aérien dispose de ces données;

• – catégorie 19: elle contient toutes les modifications du dossier passager. Cette catégorie contient des données personnelles si des données de ce type ont été modifiées postérieurement à la réservation.

Les données relatives aux passagers aériens ne peuvent être traitées au sens de la présente loi que dans le but de lutter contre la grande criminalité. On entend par grande criminalité les infractions qui figurent dans les catégories d’infractions de l’annexe 2 de la loi indiquant les éléments constitutifs de l’infraction prévus par le code pénal (CP)³³ ou le droit pénal accessoire. L’annexe 2 les subdivise en infractions terroristes (ch. 1) et en autres infractions pénales graves (ch. 2).

Ces catégories d’infractions étaient à l’origine fondées sur celles de la directive PNR et leur attribuaient les éléments constitutifs de l’infraction déterminants prévus par l’annexe 1, élargie dans le cadre de PRÜM³⁴, de la loi du 12 juin 2009 sur l’échange d’informations Schengen (LEIS)³⁵. Bien que l’élargissement ne soit pas encore entré en vigueur, il est néanmoins pris en compte dans la présente loi. Il en va de même pour un autre futur élargissement de l’annexe de la LEIS qui est actuellement en préparation. À la différence de l’annexe 1 LEIS, les catégories d’infractions déterminantes pour le PNR tiennent également compte des formes graves d’espionnage.

Sont considérées terroristes au sens de la présente loi les infractions qui tombent sous le coup du ch. 22 de l’annexe 1 LEIS. L’élément constitutif de l’infraction d’émeute (cf. art. 260, al. 1, CP) ne fait plus partie des catégories d’infractions déterminantes pour le PNR, ce qui répond aux demandes formulées par des parties consultées.

La plupart de ces infractions sont des crimes, qui sont passibles d’une peine privative de liberté de plus de trois ans (cf. art. 10, al. 2, CP). En revanche, les éléments constitutifs d’infraction ci-après sont des délits (cf. art. 10, al. 3, CP), qui sont passibles d’une peine privative de liberté n’excédant pas trois ans:

• – Menaces alarmant la population (art. 258 CP);

• – Provocation publique au crime ou à la violence (art. 259 CP).

Ne sont qualifiées de terroristes la plupart des infractions figurant dans cette catégorie que si elles sont effectivement motivées par le terrorisme (cf. annexe 2, ch. 1). Par infraction motivée par le terrorisme, on entend notamment les actions destinées à influencer ou à modifier l’ordre étatique et susceptibles d’être réalisées par des infractions graves ou la menace de telles infractions (cf. art. 23e de la loi fédérale du 21 mars 1997 instituant des mesures visant au maintien de la sûreté intérieure [LMSI]³⁶).

Sous autres infractions pénales graves, l’annexe 2 de la présente loi inclut:

• – au ch. 2.1 les infractions déjà mentionnées de l’annexe 1 LEIS;

• – ainsi qu’au ch. 2.2, les infractions en lien avec l’espionnage.

La liste des autres infractions pénales graves a été considérablement raccourcie compte tenu de diverses demandes issues de la consultation en lien avec l’arrêt de la CJUE. Les infractions relevant de la compétence de poursuite pénale de l’Office fédéral de la douane et des frontières (OFDF) ont notamment été retirées, car il ne s’agit pas de grande criminalité.

Les catégories d’infractions ne comprennent désormais que les éléments constitutifs de l’infraction:

1. qui présentent explicitement selon l’arrêt de la CJUE un «niveau de gravité incontestablement élevé» (ch. marg. 149), un «lien direct avec le transport aérien de passagers» (ch. marg. 154) en tant que grande criminalité ou sont «de nature transnationale» (ch. marg. 155);

2. pour lesquels le droit suisse prévoit une peine minimale légale qui peut être comprise comme étant une spécificité du droit national mentionnée par la CJUE et qui permet de déduire une gravité particulière de l’infraction (a contrario du ch. marg. 151 s.).

Compte tenu des changements de la situation géopolitique, trois éléments constitutifs de l’infraction en lien avec l’espionnage (ch. 2.2) ont été ajoutés aux catégories d’infractions. Ces formes graves d’espionnage sont toutes des crimes au sens de l’art. 10, al. 2, CP et prévoient une peine minimale légale.

Section 2 Obligations des entreprises de transport aérien

Art. 2 Communication des données relatives aux passagers aériens

Le fait de transmettre des données personnelles ou de les rendre accessibles est considéré comme une communication (cf. art. 5, let. e, LPD).

L’art. 2 fixe les modalités selon lesquelles les entreprises de transport aérien doivent communiquer les données relatives aux passagers aériens. La violation de ces obligations peut entraîner des sanctions (cf. art. 31).

Des parties consultées ont suggéré la création d’une disposition régissant l’utilisation et l’effacement autorisés des données par les entreprises de transport aérien. Il n’est pas possible de satisfaire cette demande, car les données relatives aux passagers aériens sont des données dont les entreprises de transport aérien ont besoin pour procéder à la réservation et au vol. Dans ce contexte, ce sont les besoins d’exploitation qui déterminent la durée de conservation de ces données auprès des entreprises de transport aérien, ainsi que les principes de protection des données que celles‑ci sont tenues de respecter.

Al. 1

L’art. 2 établit que toutes les entreprises de transport aérien (cf. art. 1, al. 3) qui desservent la Suisse doivent communiquer à l’UIP les données relatives aux passagers aériens (al. 1).

Les vols à destination de l’Euroairport de Bâle-Mulhouse-Fribourg soumis au droit suisse (munis du code d’aéroport IATA «BSL») sont également considérés comme des vols à destination de la Suisse au sens de la présente loi, en dépit du fait que l’aéroport se trouve sur un terrain situé en dehors du pays. Il en va de même pour les vols munis du code d’aéroport IATA au départ de l’Euroairport de Bâle-Mulhouse-Fribourg qui desservent un aéroport non suisse.

Il n’y a pas lieu de communiquer les données relatives aux passagers aériens sur les vols internes, même s’ils sont effectués par des entreprises de transport aérien au sens de l’art. 1, al. 3.

Al. 2

Les données relatives aux passagers aériens sont recueillies au moment de la réservation d’un billet d’avion. Si la réservation est effectuée auprès d’une entreprise de transport aérien suisse, les données correspondantes se trouvent en Suisse. Si en revanche, le billet est réservé depuis la Suisse auprès d’une entreprise de transport aérien située à l’étranger, les données relatives aux passagers aériens ne se trouvent plus en Suisse, mais dans l’État où est situé le siège de l’entreprise de transport aérien. En réservant son billet, le passager communique lui-même ses données «à l’étranger» ou accepte que celles‑ci soient communiquées.

L’al. 2 s’applique donc uniquement aux entreprises de transport aérien suisses et non aux étrangères. Les entreprises de transport aérien suisses ne peuvent communiquer les données relatives aux passagers aériens à une UIP étrangère que si un traité international signé par la Suisse le prévoit (cf. art. 29).

En revanche, si le vol a été réservé depuis la Suisse auprès d’une entreprise de transport aérien étrangère, la communication transfrontalière des données par l’entreprise de transport aérien étrangère est régie par le droit (étranger) qui lui est applicable.

Le partenaire de la Suisse peut être un État étranger ou une organisation internationale. Parmi ces dernières, on mentionnera dans le présent contexte en particulier l’UE.

Si la Suisse négocie un tel traité avec un partenaire qui dispose d’une protection des données adéquate (cf. art. 16, al. 1, LPD), elle n’a pas besoin de convenir de règles spécifiques sur la protection des données communiquées depuis la Suisse. Pour la communication des données au sens de l’al. 2, il suffit d’un traité de droit international public qui se limite à la réciprocité de la communication.

Si en revanche le partenaire ne démontre pas une protection des données adéquate, le traité international doit aussi prévoir, en plus de la réciprocité de la communication des données, des dispositions qui devront être respectées pour le traitement des données relatives aux passagers aériens issues de Suisse. Le partenaire garantit ainsi que la protection des données issues de Suisse est appropriée (cf. art. 16, al. 2, let. a, LPD).

Aujourd’hui déjà, les entreprises de transport aérien suisses fournissent des données relatives aux passagers aux États à destination desquels des vols partent de Suisse, en l’occurrence aux États-Unis et au Canada. Pour ces deux pays, un accord avec la Suisse constitue la base légale de la communication des données. Par ailleurs, ces deux accords garantiront la communication des données à l’UIP suisse dès que la base légale requise pour le traitement des données relatives aux passagers aériens aura été créée grâce à la présente loi.

D’autres accords sont prévus. Un mandat de négociations avec l’UE est en cours de préparation. L’accord permettra de remplacer la réglementation transitoire actuelle (cf. ch. 1.2).

Al. 3

Les données relatives aux passagers aériens sont communiquées à l’UIP à deux moments différents: au plus tôt 48 heures mais au plus tard 24 heures avant le départ programmé du vol, ainsi qu’après la fin de l’embarquement. La première communication de données ne fournit certes que des informations provisoires, mais elle ménage à l’UIP un certain délai avant l’atterrissage de l’avion, ce qui est indispensable dans le cas des vols de courte distance. La communication des données immédiatement après la fin de l’embarquement permet de mettre à jour les données déjà enregistrées et de dresser un tableau définitif des passagers qui entrent effectivement en Suisse ou en sortent. L’UIP ne peut plus consulter les données qui lui ont été communiquées précédemment relatives aux passagers qui n’ont finalement pas embarqué sur le vol et ne peut donc plus les traiter non plus.

Cette communication échelonnée permet à l’UIP, après l’embarquement, de se concentrer sur les données qui ont été mises à jour ou qui ont été ajoutées.

Les entreprises de transport aérien procèdent elles-mêmes à la communication à l’UIP des données relatives aux passagers aériens. Cette méthode dite push correspond non seulement aux recommandations de l’OACI³⁷, mais aussi à l’art. 8 de la directive PNR de l’UE.

Al. 4

Le Conseil fédéral est compétent pour fixer les modalités à respecter pour la communication des données. Les détails techniques qu’il s’agit de régler comportent notamment les formats autorisés pouvant s’appliquer à la communication des données relatives aux passagers aériens.

Le Conseil fédéral s’appuie pour ce faire sur les normes de l’OACI, qui sont contraignantes pour tous les États membres, et donc pour la Suisse. Ces normes internationales garantissent que les données soient communiquées partout dans le monde selon des principes uniformes, de manière à éviter aux entreprises de transport aérien une charge de travail supplémentaire qui serait due à des réglementations spécifiques à chaque pays. Si des prescriptions internationales doivent être précisées, le Conseil fédéral s’appuiera autant que possible sur les solutions de l’UE. Il remplit ainsi les exigences compréhensibles formulées par les représentants du secteur aérien lors de la consultation, c’est-à-dire renoncer à un swiss finish et donc à des règlementations spécifiques à la Suisse.

Art. 3 Devoir de diligence

Les entreprises de transport aérien doivent communiquer à l’UIP les données de tous les passagers à temps et conformément aux prescriptions techniques (cf. art. 2, al. 3 et 4).

Elles doivent prendre toutes les mesures raisonnablement exigibles pour remplir cette obligation. Dans le cas contraire, elles s’exposent aux sanctions prévues à l’art. 31.

Art. 4 Obligation d’informer

L’art. 4 oblige les entreprises de transport aérien à informer les passagers de manière adéquate du fait que leurs données communiquées au moment de la réservation du billet d’avion seront traitées non seulement dans le cadre de leur vol, mais aussi en vertu de la présente loi.

L’art. 13 de l’ordonnance du 31 août 2022 sur la protection des données (OPDo)³⁸ précise ce qu’est la manière «adéquate»: l’information doit être communiquée de manière concise, transparente, compréhensible et facilement accessible.

Dans le rapport explicatif relatif à l’OPDo, l’Office fédéral de la justice (OFJ) précise: «en d’autres termes, cela signifie que le responsable du traitement ou le sous-traitant doivent s’assurer, lors du choix des modalités d’informations, que les informations les plus importantes sont toujours transmises dans le premier niveau de communication avec la personne concernée lors de la collecte de ses données personnelles. Par exemple, lorsque la communication se fait sur un site internet, une bonne pratique peut consister à faire en sorte que les informations essentielles soient toutes disponibles en un coup d’œil, par exemple sous la forme d’un aperçu. Pour obtenir des informations complémentaires, la personne concernée pourra ensuite cliquer sur ces premières informations et cela ouvrira une autre fenêtre contenant des détails supplémentaires Il faut néanmoins préciser que la communication par un site internet n’est pas toujours suffisante: il faut que la personne concernée sache qu’elle trouvera ces informations sur un site en particulier³⁹.»

Pour que les passagers puissent faire valoir leurs droits, les entreprises de transport aérien doivent au moins, conformément à l’art. 4 de la présente loi, leur fournir les informations suivantes:

• – le fait que les données relatives aux passagers aériens sont communiquées à fedpol;

• – le titre complet de la présente loi constituant la base légale régissant le traitement des données relatives aux passagers aériens;

• – l’existence du droit d’accès en vertu de l’art. 26;

• – les coordonnées de fedpol;

• – le nom du service étranger lorsque les données sont communiquées à l’étranger.

Si une entreprise de transport aérien ne remplit pas l’obligation d’informer visée à l’art. 4 ou la remplit de façon insuffisante, elle s’expose aux sanctions prévues à l’art. 31.

Il serait possible de renoncer à l’obligation d’informer du moment que le traitement des données relatives aux passagers aériens est déjà régi par la loi (cf. art. 19 LPD). Toutefois, le fait que l’obligation d’informer soit prévue par la loi sur les données relatives aux passagers aériens se justifie, car les données relatives aux passagers aériens sont traitées:

• – dans deux contextes totalement différents, l’un factuel, l’autre juridique (réalisation technique de la réservation du vol / mise en œuvre de la loi sur les données relatives aux passagers aériens);

• – à des fins différentes (réservation du vol / lutte contre la grande criminalité);

• – sous la responsabilité d’acteurs différents (entreprises de transport aérien / fedpol).

En ce qui concerne la communication automatique des liaisons aériennes au SRC régie à l’art. 11, le PFPDT aurait préféré une obligation d’informer des entreprises de transport aérien élargie. Dans ce contexte, il rappelle que la communication automatique d’informations par le biais d’un service utilisé à cet effet ne doit pas entraîner une dilution de l’obligation d’informer.

Section 3 Traitement des données par l’UIP

Art. 5 Principes

Al. 1

L’al. 1 définit les buts du traitement des données.

Les données PNR doivent pouvoir servir aussi bien à la prévention qu’à la répression de la grande criminalité. La liste figurant à l’al. 1 décrit ces buts ainsi:

• – but préventif: déceler et empêcher les infractions concernées (cf. notamment art. 6, al. 1, let. a, LRens, art. 2a, let. f, de la loi fédérale du 7 octobre 1994 sur les Offices centraux de police criminelle de la Confédération et les centres communs de coopération policière et douanière avec d’autres États [LOC]⁴⁰, lois cantonales sur la police);

• – but répressif: élucider les infractions concernées et rechercher des personnes prévenues (cf. notamment art. 15 à 21 du code de procédure pénale du 5 octobre 2007 [CPP]⁴¹), ou des personnes condamnées par un jugement entré en force pour l’une des infractions pénales concernées et qui n’ont pas encore ou pas entièrement purgé leur peine.

Ces buts sont restreints lors de l’utilisation de profils de risque (art. 12) et de listes d’observation (art. 13 et 14).

Al. 2

Des données personnelles sensibles (cf. art. 5, let. c, LPD) ne se trouvent ni dans les profils de risque ni dans les listes d’observation. Les données relatives aux passagers aériens visées à l’annexe 1 ne comportent pas non plus de données personnelles sensibles.

L’UIP peut toutefois rencontrer ce type de données lorsqu’elle vérifie les concordances obtenues par la comparaison automatique (cf. art. 6, al. 2 et 3).

L’UIP ne peut traiter ces données que s’il s’agit des données visées à l’al. 2, c’est-à-dire:

• – des données biométriques identifiant une personne physique, par exemple une empreinte digitale numérique, des images faciales, des images de l’iris ou des enregistrements vocaux;

• – des données sur des poursuites ou sanctions pénales et administratives; sont considérées comme telles les informations sur les actes matériels de la police (mesures de sécurité et de protection)⁴².

L’UIP doit effacer sans délai toutes les autres données sensibles qui peuvent être recueillies lors du traitement des données relatives aux passagers aériens (cf. art. 22, let. a).

Art. 6 Comparaison automatique des données

La comparaison automatique de toutes les données relatives aux passagers aériens est limitée dans le temps. Elle doit avoir lieu immédiatement après que les données sont parvenues à l’UIP et elle est déclenchée automatiquement (al. 1).

Cette comparaison sert à faire un premier tri des données relatives aux passagers aériens:

• – entre celles qui n’ont pas produit de concordance et qui, sous réserve des art. 8 à 11, ne doivent pas être traitées de manière plus approfondie,

• – et celles qui ont produit une concordance et doivent par conséquent être examinées plus en détail (al. 2 et 3), et peut-être communiquées à l’autorité compétente pour la suite du traitement (cf. art. 7).

Si cette vérification visée à l’al. 2 est positive, l’UIP communique la concordance et les données relatives aux passagers aériens concernées, c’est-à-dire le résultat de la comparaison automatique, à l’autorité compétente (cf. art. 7) et marque les données communiquées. L’autorité qui reçoit les données de la part de l’UIP décide ensuite des éventuelles mesures.

Les données marquées sont soumises à un délai de conservation de cinq ans. En revanche, les données non marquées sont pseudonymisées au bout d’un mois (cf. art. 18) et effacées automatiquement après cinq mois supplémentaires (cf. art. 21).

Al. 1

Les données relatives aux passagers aériens sont comparées automatiquement dès leur introduction dans le système d’information PNR de l’UIP avec:

• – les données des systèmes d’information de police en vertu des art. 15 et 16 de la loi fédérale du 13 juin 2008 sur les systèmes d’information de police de la Confédération (LSIP)⁴³ et le système d’information de police d’INTERPOL en vertu de l’art. 351 CP⁴⁴;

• – les profils de risque en vertu de l’art. 12;

• – les listes d’observation en vertu des art. 13 et 14.

Si les contenus d’un ensemble de données relatives aux passagers aériens (cf. annexe 1), tels que le nom, le numéro de téléphone ou l’adresse électronique de la personne, se trouvent également dans l’un des deux systèmes d’information de police ou dans une liste d’observation, la comparaison automatique aboutit à une concordance.

Sont présentés ci-après les deux systèmes d’information de police avec lesquels les données relatives aux passagers aériens sont comparées automatiquement.

Le système de recherches informatisées de police (RIPOL; cf. art. 15 LSIP) contient des données sur les personnes signalées aux fins d’arrestation ou de recherche, des informations sur des infractions non élucidées ou sur des personnes impliquées dans une infraction ainsi que d’autres renseignements servant à élucider des infractions. Il aide les autorités compétentes de la Confédération et des cantons lorsqu’il s’agit d’arrêter des personnes et d’écarter les menaces pour la sécurité publique. La comparaison des données relatives aux passagers aériens avec celles du RIPOL contribue non seulement à la réussite des recherches, mais aussi aux progrès dans les enquêtes non élucidées sur des infractions terroristes et autres infractions pénales graves visées à l’annexe 2 P‑LDPa. Toute personne autorisée à effectuer des comparaisons avec le RIPOL reçoit automatiquement les concordances communiquées au moyen de la banque de données Automated Search Facility (ASF) d’INTERPOL. Cette banque de données contient des informations sur des personnes recherchées au niveau international ainsi que sur des documents d’identification dérobés ou perdus (let. d et e).

La partie nationale du Système d’information Schengen (N-SIS; cf. art. 16 LSIP) contient des signalements de personnes et d’objets (par ex. relatifs à des documents d’identité volés) recherchés au sein de l’espace Schengen. La comparaison des données relatives aux passagers aériens avec celles du N-SIS peut permettre aux autorités compétentes d’arrêter des personnes recherchées au niveau international lorsqu’elles entrent dans le pays ou en sortent.

Les commentaires sur les art. 12 à 14 contiennent de plus amples détails sur les profils de risque et les listes d’observation utilisés pour la comparaison automatique.

Al. 2

Il ne suffit pas d’obtenir une concordance grâce à la comparaison automatique des données dans le système d’information PNR pour qu’il soit justifié de la communiquer à l’autorité compétente et de marquer des données (cf. art. 7, al. 1).

L’UIP doit encore vérifier chaque concordance manuellement pour garantir qu’aucun résultat de traitement:

• – qui sortirait du cadre des buts admissibles pour le traitement des données (cf. art. 5, al. 1) ou

• – qui concernerait la mauvaise personne par exemple en raison d’une erreur lors de la saisie de son nom

ne soit communiqué à une autorité compétente.

Souvent, seule une consultation manuelle des systèmes d’information de police et d’autres systèmes d’information de la Confédération permet de trouver des renseignements supplémentaires et de clarifier ces questions.

Al. 3

L’al. 3 cite les systèmes d’information auxquels l’UIP a le droit d’accéder afin de vérifier les concordances.

Let. a

Si la concordance montre effectivement l’existence d’un élément constitutif de l’infraction visé à l’annexe 2, l’UIP doit clarifier la situation en accédant manuellement aux informations de fond sur les circonstances de l’infraction dans le RIPOL et dans le N‑SIS (cf. commentaire de l’art. 1) ainsi que dans les systèmes d’information suivants:

• – Le Système national d’enquête (SNE, art. 10 et 11 LSIP) contient des informations relatives aux enquêtes de police judiciaire de la Confédération ainsi qu’aux enquêtes préliminaires et aux enquêtes de police judiciaire des cantons. De plus, les informations relatives à la coopération entre la Police judiciaire fédérale (PJF) et les autorités de poursuite pénale, les polices judicaires cantonales ainsi que les autorités étrangères peuvent se révéler utiles dans la lutte contre la criminalité organisée au niveau international.

• – Le système de traitement des données relatives à la coopération policière internationale et intercantonale (IPAS, art. 12 LSIP) contient notamment des informations relatives aux enquêtes en cours menées par des autorités de police et de poursuite pénale suisses ou étrangères.

• – L’index national de police (art. 17 LSIP): ce système comprend des informations de fond sur les signalements des cantons.

• – SIRENE-IT (en vertu de l’art. 18 LSIP): ce système contient des informations de fond relatives aux signalements contenus dans le Système d’information Schengen dans le domaine de la criminalité organisée et du terrorisme.

• – Le système d’information d’INTERPOL (I-24/7, art. 350 à 352 CP): ce système de l’organisation internationale de police criminelle (INTERPOL) contient des informations permettant d’établir les motifs de signalements internationaux.

Let. b

Ce sont avant tout les indications qui ont été fournies sur la personne et sur ses informations de voyage qui sont importantes pour établir l’identité. L’UIP ne doit pas seulement se contenter du RIPOL et du N‑SIS, mais doit pouvoir aussi consulter les systèmes d’information suivants:

• – Le système national d’information sur les visas (ORBIS, art. 109b LEI): le système national d’information sur les visas fournit des informations sur les demandes de visa et donne accès aux données de toutes les personnes disposant d’un visa valable dans l’espace Schengen. Une personne peut être identifiée au moyen du numéro de passeport vérifiable.

• – Le système d’information central sur la migration (SYMIC, loi fédérale du 20 juin 2003 sur le système d’information commun aux domaines des étrangers et de l’asile [LDEA]⁴⁵): le système d’information central sur la migration contient les données personnelles d’étrangers qui se trouvent en Suisse (par ex. nom, prénom, date de naissance) ainsi que leur statut de séjour. Il est désormais possible de consulter dans le SYMIC les données du système d’information relatif à l’établissement de documents d’identité suisses et d’autorisations de retour pour étrangers ISR (ancien art. 111, al. 1, LEI). Il est aussi possible de consulter dans le SYMIC des informations issues de documents de voyage, telles que le nom ou le lieu d’origine d’étrangers enregistrés en Suisse et possédant un document de voyage établi par la Suisse (par ex. un passeport pour réfugié).

• – Le système d’information relatif aux documents d’identité (ISA, art. 11 de la loi fédérale du 22 juin 2001 sur les documents d’identité [LDI]⁴⁶): ISA est exploité par fedpol et contient les données figurant sur les passeports et les cartes d’identité suisses d’une personne telles que le nom, le lieu d’origine, l’autorité d’établissement et le centre chargé de produire les documents d’identité.

Les concordances obtenues par suite de comparaison automatique qui s’avèrent négatives lors de la vérification par l’UIP doivent être effacées immédiatement (cf. art. 22, let. b). Si la concordance vérifiée est confirmée, l’UIP la transmet ainsi que les données relatives aux passagers aériens concernées à l’autorité compétente puis marque les données concernées (cf. art. 7).

Art. 7 Communication en cas de concordance vérifiée

Al. 1

Seules les concordances obtenues dans le cadre de la comparaison automatique qui ont été vérifiées par l’UIP en vertu de l’art. 6, al. 2, et se sont avérées positives peuvent être communiquées à l’autorité compétente visée à l’art. 1, al. 2, accompagnées des données relatives aux passagers aériens concernées, constituant ensemble les résultats de la comparaison automatique.

La destinataire de ces résultats de traitement est l’autorité qui, selon le système d’information, est chargée du signalement déterminant pour obtenir la concordance ou fournit le profil de risque ou la liste d’observation aboutissant à la concordance.

C’est l’art. 22, let. b, qui détermine si la vérification d’une concordance entraîne d’autres suites que la communication à l’autorité compétente. Doivent être effacées immédiatement – au lieu d’être communiquées à une autorité – les concordances:

• – qui ne peuvent pas ou pas clairement être attribuées à une infraction pénale visée à l’annexe 2 (art. 6, al. 3, let. a); ou

• – pour lesquelles l’identité se révèle inexacte (art. 6, al. 3, let. b).

Dans ces cas, la vérification des concordances obtenues par la comparaison automatique donne un résultat négatif, ce qui interdit la communication à une autorité compétente et requiert l’effacement immédiat.

Al. 2

Si c’est l’UIP qui a décidé d’établir un profil de risque (cf. art. 12, al. 2, let. b), il manque une autorité requérante. C’est également le cas si l’UIP doit transmettre des indices sur une infraction susceptible d’être commise (cf. art. 9). Il est aussi possible qu’un signalement ne mentionne exceptionnellement pas d’autorité compétente.

Dans tous ces cas, l’UIP communique les données à l’autorité visée à l’art. 1, al. 2, qui est la plus susceptible d’être compétente pour la suite du traitement. En cas de doute, l’UIP communique les données à la PJF. Si celle-ci ne s’estime pas compétente dans le cas d’espèce, elle transmet les données à l’autorité qu’elle considère compétente. Si la PJF ne trouve aucune autorité compétente, ce qui semble improbable, elle doit elle-même effacer les données. Dès que l’UIP en a pris connaissance, elle supprime le marquage des données concernées conformément à l’art. 10, al. 1.

Al. 3

L’UIP marque techniquement les données qui ont été communiquées à une autorité visée à l’art. 1, al. 2, qui sont dès lors considérées comme données marquées dans la présente loi.

Digression sur les données marquées

Dans son arrêt du 21 juin 2022, la CJUE précise sans équivoque que la conservation pendant six mois de toutes les données relatives à des passagers aériens peut se justifier. En revanche, la conservation au-delà de ce délai devrait se limiter au strict nécessaire aux fins d’enquête et de poursuite:

«Dans la mesure où, toutefois, sont identifiés, dans des cas particuliers, des éléments objectifs, tels que les données PNR […] ayant donné lieu à une concordance positive vérifiée, qui permettent de considérer que certains passagers pourraient présenter un risque en matière d’infractions terroristes ou de formes graves de criminalité, un stockage de leurs données PNR paraît admissible au-delà de cette période initiale»⁴⁷.

Les données que l’UIP communique à une autorité compétente en vertu de l’art. 7 sont marquées. Cette mesure technique garantit le traitement automatique prévu par la loi pour les données:

• – qui ne présentent pas d’indices de grande criminalité, ne sont par conséquent pas marquées, sont pseudonymisées automatiquement au bout d’un mois puis effacées automatiquement après cinq mois supplémentaires (art. 21, al. 1); et

• – qui présentent des indices de grande criminalité, sont par conséquent communiquées à une autorité et marquées, puis sont effacées automatiquement après cinq ans (cf. art. 21, al. 2).

Un marquage est supprimé lorsque l’UIP est informée par l’autorité compétente qu’il n’y a plus besoin des données (cf. art. 10). Cela peut être le cas lorsque les indices qui ont entraîné la communication des données ne sont pas confirmés ou si le soupçon initial contre une personne signalée comme recherchée se révèle infondé. Une fois le marquage supprimé, les données doivent, en fonction de leur date, être soit pseudonymisées puis effacées, soit effacées immédiatement (cf. art. 18 et 21).

Al. 4

Tant les demandes des autorités compétentes adressées à l’UIP que les données communiquées par cette dernière à l’autorité requérante doivent pouvoir être communiquées de manière sécurisée. Le Conseil fédéral est autorisé à régler, au niveau de l’ordonnance, les modalités nécessaires pour ce faire. Il ne s’agit pas seulement de définir la manière de communiquer. Il faut également clarifier la question de savoir si les données doivent être échangées de manière standardisée entre les autorités et par le biais d’un point de contact. Dans le cas des corps de police de la Confédération et des cantons, il pourrait s’agir de la Centrale d’engagement et d’alarme.

Art. 8 Communication sur demande

Cette disposition s’applique uniquement lorsque les données relatives aux passagers aériens qui font l’objet de la demande ne sont pas pseudonymisées.

Si les données souhaitées sont pseudonymisées, il faut d’abord demander la levée de la pseudonymisation (cf. art. 19 ou 20).

Al. 1

La communication de données visée à l’art. 8 doit être suffisamment concrète et précise. Les demandes d’ordre général qui ne sont pas spécifiques et peuvent produire une pléthore de résultats divers ne sont en revanche pas admises. Cette nuance est apportée par le terme «au cas par cas».

De plus, la demande doit exposer de manière concluante les raisons pour lesquelles les données sollicitées sont nécessaires pour combattre une infraction visée à l’annexe 2 de la présente loi.

Al. 2

L’UIP doit examiner, sur la base de la demande et éventuellement par des renseignements complémentaires recueillis auprès de l’autorité requérante, si les données relatives aux passagers aériens sollicitées sont effectivement en lien avec une infraction visée à l’annexe 2 (cf. art. 7, al. 1).

Les données relatives aux passagers aériens communiquées à la demande d’une autorité compétente doivent être marquées (cf. art. 7, al. 3).

Art. 9 Transmission d’indices

Al. 1

L’UIP peut recevoir de la part d’une UIP étrangère des indices du risque imminent qu’une infraction visée à l’annexe 2 soit commise (cf. art. 30).

L’UIP doit communiquer ces indices à l’autorité compétente (cf. art. 1, al. 2), de sorte que cette dernière puisse effectuer des clarifications plus approfondies et éventuellement mettre en place les mesures indiquées pour prévenir cette infraction.

Al. 2

Parmi les autres informations que l’UIP communique à l’autorité compétente à sa demande se trouvent le dossier passager de la personne concernée par l’indice ainsi que les éventuelles concordances vérifiées obtenues par une comparaison des données de ce dossier en vertu de l’art. 6, al. 1.

Al. 3

En cas d’urgence, l’UIP peut communiquer les informations visées à l’al. 2 immédiatement et sans attendre une demande de l’autorité compétente.

Al. 4

Par analogie avec l’art. 7, l’UIP vérifie notamment si l’indice transmis a effectivement un lien avec une infraction visée à l’annexe 2 (cf. art. 7, al. 1).

Si l’UIP ne peut pas déterminer avec certitude quelle autorité est compétente pour procéder à des clarifications, elle transmet l’indice à la PJF, qui détermine la compétence (cf. art. 7, al. 2).

Une fois les données transmises à l’autorité compétente, c’est l’UIP qui doit procéder à leur marquage (cf. art. 7, al. 3).

Art. 10 Suppression des marquages

L’autorité compétente est en mesure d’examiner le soupçon dont les données communiquées font l’objet dans un cadre bien plus large que l’UIP. Elle peut parvenir à la conclusion que les indices qui ont conduit à la communication des données ne sont pas confirmés ou que le soupçon initial contre une personne signalée comme recherchée se révèle infondé.

Dans ce cas, l’autorité compétente doit informer l’UIP qu’elle n’a plus besoin des données communiquées.

Dès que l’UIP a pris connaissance de cette information, elle doit supprimer le marquage des données concernées. Ces données sont ensuite soumises aux règles s’appliquant aux données non marquées (cf. art. 18 et 21).

Il faudra déterminer au niveau de l’ordonnance une procédure permettant de rappeler aux autorités compétentes leur obligation d’informer prévue à l’art. 10 à intervalles réguliers. Si elles confirment dans un délai fixé par l’UIP (par ex. 10 jours) que la personne concernée fait toujours l’objet de soupçons de grande criminalité, les données restent marquées. En revanche, si l’UIP ne reçoit aucune confirmation, elle supprime le marquage et pseudonymise ou efface les données redevenues non marquées (en fonction de leur date de saisie dans le système). Cette procédure permet d’empêcher que des données soient marquées de manière injustifiée et restent ainsi soumises au délai de conservation de cinq ans.

Art. 11 Communication au SRC

Le SRC joue un rôle particulier dans la lutte contre les infractions terroristes et les autres infractions pénales graves. Sa collecte d’informations précède généralement l’enquête de police et la poursuite pénale, et sert à anticiper et à prévenir les menaces pour la sécurité intérieure ou extérieure.

C’est pourquoi le SRC doit avoir accès aux données brutes relatives à certaines liaisons aériennes en vue de leur traitement, contrairement au service de renseignement de l’armée et aux autorités d’exécution cantonales visés à l’art. 9 LRens, qui n’ont pas ce droit.

Le traitement par le SRC des données relatives aux passagers aériens est régi par la LRens, qui est complétée en conséquence (cf. annexe 3, ch. 1). La loi sur les données relatives aux passagers aériens ne régit que la communication des données et le but du traitement admissible.

Al. 1

L’al. 1 spécifie simplement que le SRC reçoit les données relatives aux passagers aériens sur certaines liaisons aériennes prédéfinies. Ces données lui sont communiquées automatiquement. Cette communication n’entraîne pas de marquage des données concernées.

Al. 2

Le SRC doit pouvoir traiter les données relatives aux passagers aériens en toute autonomie afin d’accomplir ses tâches conformément à l’art. 6, al. 1, let. a, LRens. Il n’est toutefois pas prévu que le SRC se voie octroyer un accès direct au système d’information PNR. Les données lui sont communiquées automatiquement et concernent uniquement les liaisons aériennes prédéfinies par le Conseil fédéral (cf. al. 3).

Le SRC se heurte à une autre restriction pour traiter les données relatives aux passagers aériens conformément à la présente loi: il ne peut traiter ces données que pour lutter contre les infractions pénales visées à l’annexe 2 qui comptent parmi ses tâches prévues à l’art. 6, al. 1, let. a, LRens.

Le nouvel art. 16a LRens renvoie explicitement à cette finalité prévue par la présente loi.

L’avant-projet de loi sur les données relatives aux passagers aériens anticipait déjà cette disposition de finalité, qui correspond aussi à l’arrêt de la CJUE (cf. ch. marg. 235). Cette dernière tire encore une autre conclusion:

«Par ailleurs, le caractère exhaustif des finalités […] de la directive PNR implique également que les données PNR ne sauraient être conservées dans une base de données unique pouvant être consultée aux fins de la poursuite tant de ces finalités que d’autres finalités. En effet, la conservation de ces données dans une telle base de données comporterait le risque que lesdites données soient utilisées à des fins autres que celles visées […]».

Il découle de la finalité spécifiée à l’al. 2 qu’il n’est pas non plus possible pour le SRC d’élargir le but du traitement sur le plan technique. Une réglementation supplémentaire n’est donc pas nécessaire dans la loi sur les données relatives aux passagers aériens.

Section 4 Profils de risque et listes d’observation

Art. 12 Profils de risque

Cet article fournit la base légale permettant d’établir un profil de risque et de l’utiliser et contient également une définition de celui‑ci.

L’expérience professionnelle éprouvée et l’intuition des collaborateurs des autorités de contrôle permettent aujourd’hui encore de repérer, dans le flux des personnes entrant en Suisse et quittant le pays, certains individus aux antécédents criminels jusqu’alors inconnus des autorités compétentes et de les examiner de plus près, voire de les interroger ou de les arrêter. Toutefois, il convient de considérer ces impressions personnelles lors des contrôles sous un angle critique, d’autant plus que leur motivation est subjective et qu’elles peuvent être inconsciemment une «porte d’entrée» à des discriminations. Par conséquent, et compte tenu du fait que le nombre de personnes passant les points de contrôle a fortement augmenté ces dernières années, il faut à présent davantage recourir à des outils électroniques.

Les profils de risque dans le cadre du PNR sont l’un de ces outils. Tout comme les listes d’observation, ils sont utilisés dans la comparaison automatique visée à l’art. 6 et permettent d’attirer l’attention sur des dossiers passagers présentant des combinaisons de données observées fréquemment en lien avec la grande criminalité.

Dans le cadre du PNR, un profil de risque ne correspond pas à un profilage (cf. art. 5, let. f et g, LPD). En effet, la comparaison de données relatives aux passagers aériens avec le profil de risque ne comprend ni une analyse de la personne concernée ni l’anticipation de son comportement.

Les profils de risque sont utilisés pour rechercher certaines données qui se trouvent combinées dans un dossier passager. Une concordance obtenue dans le cadre d’une comparaison confirme uniquement que le dossier passager concerné par cette concordance contient bien la combinaison recherchée au moyen du profil de risque.

En pratique, le développement de profils de risque représente un défi de taille. Les profils de risque ne sont opérants que si, lors de leur conception, un savoir-faire criminalistique est combiné à une expérience éprouvée dans le domaine de la consultation des données.

Toutes les étapes de traitement automatiques doivent être consignées dans un procès-verbal électronique, l’utilisation de profils de risque également (cf. art. 24).

Les profils de risque doivent être effacés lorsqu’ils ne sont plus nécessaires (cf. art. 22, let. d).

L’utilisation de profils de risque est vérifiée par le Conseil fédéral (cf. art. 15).

Al. 1

Certains crimes se traduisent par des combinaisons de données typiques dans les dossiers passagers, par exemple la criminalité organisée et en particulier la traite d’êtres humains. L’utilisation de profils de risque permet de rechercher systématiquement de telles combinaisons dans les dossiers passagers, afin d’obtenir des indices objectifs d’une infraction visée à l’annexe 2 encore inconnue des autorités.

Plusieurs participants à la consultation craignent que les profils de risque puissent présenter des contenus discriminatoires. Cette crainte est infondée. En effet, un profil de risque n’est pas composé de données qui se réfèrent à une personne physique identifiée ou identifiable et, par conséquent, il ne contient pas de données personnelles au sens de l’art. 5, let. e, LPD. De même, un profil de risque ne peut en aucun cas contenir des données personnelles sensibles (cf. art. 5, let. c, LPD).

Al. 2

Les profils de risque sont toujours établis par l’UIP.

Un profil de risque peut avoir comme point de départ une demande écrite d’une autorité compétente visée à l’art. 1, al. 2. Celle‑ci doit exposer dans sa demande quelles données doivent être intégrées dans le profil de risque et dans quel but.

L’UIP peut toutefois aussi établir des profils de risque sans une telle demande. Dans ce cas, elle se fonde sur les renseignements qu’elle a recueillis au cours du travail quotidien des autorités de police et de poursuite pénale en Suisse et à l’étranger.

Dans les deux cas, l’UIP doit examiner si les contenus demandés sont conformes à la finalité du traitement et suffisamment concrets. Si elle constate que les informations de l’autorité requérante ne sont pas suffisamment concrètes, elle le lui signale puis l’aide à préciser davantage le profil de risque souhaité.

Al. 3

L’établissement de profils de risque pose de grandes exigences techniques. Les expériences faites à l’étranger montrent que les profils de risque débouchent souvent sur un trop grand nombre de concordances.

Cela provient du fait que ces profils ne sont pas suffisamment précis. Dans l’idéal, ils devraient contenir aussi bien des données à charge que des données à décharge.

Obtenir une multitude de concordances qui ne sont pas pertinentes ne devrait pas être le but des profils de risque, que ce soit pour des raisons de protection de données (cf. art. 7, al. 3, LPD) ou pour des raisons d’économie de procédure.

Par conséquent, les profils de risque doivent impérativement être testés avant d’être utilisés. Ces tests sont menés exclusivement au moyen de données générées artificiellement par des simulations.

Al. 4

Seule l’UIP, c’est-à-dire des personnes physiques, peut modifier les données intégrées dans un profil de risque.

Art. 13 Liste d’observation

Cet article fournit la base légale permettant d’établir et d’utiliser une liste d’observation et contient également une définition de celle‑ci.

Tout comme les profils de risque, les listes d’observation sont utilisées dans la comparaison automatique de toutes les données relatives aux passagers aériens nouvellement reçues (cf. art. 6, al. 1).

Toutes les étapes de traitement automatiques doivent être consignées dans un procès-verbal électronique, l’utilisation d’une liste d’observation également (cf. art. 24).

L’effacement du contenu d’une liste d’observation visée à l’art. 13 est régi à l’art. 22, let. d.

L’utilisation d’une liste d’observation est vérifiée par le Conseil fédéral (cf. art. 15).

Al. 1

Les listes d’observation visées à l’art. 13 permettent de rechercher de façon directe et ciblée des contenus dans les données relatives aux passagers aériens qui ont un rapport avec des infractions visées à l’annexe 2 déjà commises et connues des autorités.

Contrairement aux profils de risque, une liste d’observation est composée uniquement de données qui se réfèrent à une personne physique ou morale identifiée ou identifiable. Cette définition reprend la définition des données personnelles qui était en vigueur en Suisse jusqu’à l’abrogation de la loi fédérale du 19 juin 1992 sur la protection des données⁴⁸. Cet élargissement permet de garantir qu’il est par exemple aussi possible de rechercher des numéros de carte de crédit spécifiques lorsque la carte de crédit appartient à une personne morale plutôt qu’à une personne physique.

La liste d’observation ne contient pas de données personnelles sensibles, car même les données biométriques inscrites dans les documents d’identité ne font pas partie d’un dossier passager au sens de l’annexe 1 (cf. catégorie 18).

Al. 2

Cet alinéa spécifie qui peut solliciter une liste d’observation et quels buts du traitement définis à l’art. 5, al. 1, doivent être respectés pour l’établissement et l’utilisation de la liste d’observation.

Contrairement aux profils de risque, l’UIP n’a le droit d’établir et d’utiliser des listes d’observation qu’à la demande écrite d’une autorité visée à l’art. 1, al. 2, let. a. La tâche de l’UIP se limite à vérifier si les contenus sollicités sont conformes à la finalité du traitement et suffisamment concrets.

La liste d’observation visée à l’art. 13 ne peut être établie et utilisé qu’aux fins suivantes:

• – élucider une infraction terroriste ou toute autre infraction pénale grave visée à l’annexe 2 connue des autorités, qui fait l’objet d’une procédure d’enquête ou de poursuite pénale en cours (let. a); ou

• – rechercher une personne identifiée qui est prévenue dans le cadre d’une procédure pénale en cours en lien avec une infraction visée à l’annexe 2 (let. b) ou qui a été condamnée par un jugement entré en force et tente de se soustraire à l’exécution d’une peine privative de liberté (let. c).

Al. 3

Seule l’UIP, c’est-à-dire des personnes physiques, peut établir des listes d’observation et modifier les données utilisées.

Art. 14 Intégration de données de tiers dans la liste d’observation

Cet article établit une règle spéciale permettant d’intégrer des données dans une liste d’observation visée à l’art. 13. L’inclusion de données de tiers qui n’ont aucun lien avec une infraction visée à l’annexe 2 permet de rechercher indirectement des personnes identifiées qui sont connues des autorités.

Les données de tiers doivent permettre de déterminer le lieu de séjour d’une personne recherchée en lien avec une infraction pénale visée à l’annexe 2. Il doit s’agir d’une personne qui est prévenue dans le cadre d’une procédure pénale en cours ou qui a été condamnée par un jugement entré en force et doit être livrée à une peine privative de liberté pour une infraction visée à l’annexe 2.

L’art. 270 CPP fixe une règle similaire qui autorise la surveillance de la correspondance par poste et télécommunication d’un tiers. Cette mesure représente toutefois une atteinte bien plus forte aux droits de la personnalité des tiers concernés que la mesure prévue au présent article, qui devrait par ailleurs se révéler bien moins coûteuse à mettre en œuvre qu’une mesure en vertu de l’art. 270 CPP. Des tiers peuvent aussi être touchés par une observation en vertu de l’art. 282 CPP.

L’effacement du contenu d’une liste d’observation visée à l’art. 14 est régi par l’art. 22, let. e.

L’utilisation d’une liste d’observation est vérifiée par le Conseil fédéral (cf. art. 15).

Al. 1

La liste d’observation peut intégrer pour une durée limitée les données d’un tiers qui n’a aucun lien direct avec une infraction terroriste ou une autre infraction pénale grave visée à l’annexe 2.

Seule une autorité visée à l’art. 1, al. 2, let. a, peut demander par écrit une liste d’observation en vertu de l’art. 14.

Mais dans le cas présent, la demande doit être adressée au tribunal des mesures de contrainte compétent pour l’autorité requérante. En effet, il n’est possible d’inclure les données d’un tiers dans une liste d’observation que si le tribunal des mesures de contrainte compétent l’approuve.

La liste d’observation a pour but de permettre aux autorités de déterminer, à l’aide du dossier passager d’un tiers, le lieu de séjour d’une personne recherchée en lien avec une infraction pénale visée à l’annexe 2 qui est soit prévenue, soit condamnée par un jugement entré en force et tente de se soustraire à l’exécution d’une peine privative de liberté (art. 13, al. 2, let. b et c).

On entend par tiers au sens de l’art. 14 une personne suffisamment proche de la personne recherchée, que ce soit au plan professionnel ou au plan privé, pour qu’il soit probable qu’elle rende visite à la personne recherchée à son lieu de séjour.

Il faut garder à l’esprit qu’une liste d’observation incluant des contenus visés à l’art. 14 ne peut être opérante que si le tiers et la personne recherchée sont en contact sur place et que le tiers ou la personne recherchée se trouve en Suisse. Si les deux personnes se trouvent en Suisse, elles n’ont pas besoin de prendre l’avion et de traverser les frontières pour entretenir le contact. Et si les deux se trouvent à l’étranger, les données du tiers dans une liste d’observation ne servent à rien, car l’UIP suisse ne dispose normalement que des dossiers passagers des vols à destination ou en provenance de la Suisse.

Al. 2

L’inclusion de telles données dans une liste d’observation est soumise à une durée limitée, qui doit également être fixée par le tribunal des mesures de contrainte.

Pour fixer cette durée autorisée, le tribunal des mesures de contrainte adoptera probablement des critères semblables au type de mesures en vertu du CPP.

L’UIP doit effacer les contenus de la liste d’observation à l’expiration de la durée fixée par le tribunal (cf. art. 22, let. e).

Al. 3

Le tribunal des mesures de contrainte communique sa décision à l’autorité requérante et à l’UIP.

Art. 15 Vérification des profils de risque et des listes d’observation

Les profils de risque et les listes d’observation sont des instruments essentiels du PRN. Ils permettent d’obtenir rapidement et sans grand effort des informations qui peuvent être importantes dans la lutte contre la grande criminalité.

Il est ressorti de la consultation qu’il faudrait vérifier l’utilisation de ces deux instruments. Cette vérification portant essentiellement sur la fonctionnalité de ces instruments essentiels du PRN, cette tâche doit être confiée au Conseil fédéral.

Al. 1

L’art. 15 spécifie que l’utilisation de profils de risque et de listes d’observation doit être vérifiée par le Conseil fédéral.

Pour être utilisés, il est impératif que ces instruments soient établis de sorte qu’ils permettent d’atteindre les buts définis par la loi.

Les profils de risque qui génèrent une multitude de concordances inutiles font perdre de vue l’essentiel, en plus de mobiliser beaucoup de ressources inutilement. Les profils de risque insuffisamment précis ne peuvent pas être justifiés par la nécessité.

Il en va de même pour les profils de risque qui ne sont pas fondés sur les schémas de comportement actuels, car ceux‑ci changent sans cesse. Si les profils de risque ne sont plus actuels, il n’est plus nécessaire de les utiliser et leur contenu doit être effacé (cf. art. 22, let. d).

L’utilisation de listes d’observation est moins problématique, même si celles-ci peuvent aussi générer beaucoup de concordances inutiles, par exemple lorsque des noms de famille courants sont intégrés sans autres critères permettant de définir la personne recherchée avec plus de précision.

La raison principale pour laquelle des listes d’observation ne sont plus nécessaires pourrait résider dans le fait que la personne recherchée a été retrouvée. L’UIP doit effacer le contenu d’une liste d’observation qui n’est plus nécessaire (cf. art. 22, let. d et e).

Al. 2

Les détails de cette vérification doivent être fixés au niveau de l’ordonnance. La publication d’un rapport, comme certains participants à la consultation l’ont souhaité, n’est toutefois pas considérée comme indiquée. Pour des raisons de protection de la personnalité et des considérations de sécurité, il est préférable de ne pas publier un rapport à forte portée informative.

Section 5 Système d’information PNR

Art. 16

Al. 1

Le traitement des données relatives aux passagers aériens est effectué dans le système d’information PNR. De plus amples détails se trouvent au ch. 6.1.

Al. 2

En tant qu’exploitant du système d’information PNR, fedpol endosse le rôle de responsable du traitement au sens de l’art. 5, let. j, LPD.

fedpol est notamment chargé:

• – de concevoir, par des mesures techniques et organisationnelles, le traitement des données de manière à ce qu’il respecte les prescriptions de protection des données (art. 7, al. 1, LPD);

• – de garantir, par le biais de préréglages appropriés, que le traitement des données personnelles soit limité au minimum requis pour la finalité poursuivie (art. 7, al. 3, LPD);

• – d’assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru (art. 8, al. 1, LPD);

• – de tenir un registre des activités de traitement (Art. 12 LPD);

• – de procéder à une analyse d’impact relative à la protection des données personnelles, pour autant que les conditions permettant d’établir une telle analyse soient réunies (art. 22 LPD);

• – d’annoncer dans les meilleurs délais au PFPDT les cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (art. 24, al. 1, LPD);

• – d’informer la personne concernée de tout cas de violation de la sécurité des données lorsque cela est nécessaire à sa protection ou lorsque le PFPDT l’exige (art. 24, al. 4, LPD).

Par ailleurs, fedpol est tenu:

• – d’informer toute personne qui le demande si des données personnelles la concernant sont traitées (art. 25 LPD, sous réserve des restrictions visées à l’art. 26 de la présente loi);

• – de remettre à toute personne qui le demande, sous réserve des restrictions prévues à l’art. 29 LPD, les données personnelles traitées de manière automatisée qui la concernent (art. 28 LPD);

• – de traiter l’opposition d’une personne concernée à ce que ses données personnelles soient communiquées (art. 37 LPD);

• – de traiter les demandes d’une personne concernée en vertu de l’art. 41 LPD.

Les art. 17 à 26 P‑LDPa contiennent des dispositions qui précisent en partie ces prescriptions et priment les dispositions générales de la LPD.

Al. 3 et 4

L’accès aux données relatives aux passagers aériens et aux résultats de traitement de ces données est réservé aux collaborateurs qui en ont impérativement besoin pour l’accomplissement de leurs tâches. Le droit d’accès est accordé en premier lieu aux collaborateurs de l’UIP (let. a). Le conseiller à la protection des données de fedpol doit aussi disposer d’un droit d’accès afin d’accomplir ses tâches conformément à la LPD (let. b).

Les personnes qui sont chargées du développement ou de la maintenance du système d’information PNR ou qui apportent un soutien technique doivent également avoir un droit d’accès (let. c). Cette nécessité découle du fait que le traitement de données est défini de manière très large.

En effet, on entend par traitement toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés (cf. art. 5, let. d, LPD). Le support des utilisateurs peut par conséquent déjà donner lieu à un traitement de données. S’agissant des questions techniques, seuls les prestataires qui ont obtenu le marché public dans le cadre de l’appel d’offres OMC Alpin 2.0 interviennent dans le traitement PNR. Alpin 2.0 garantit un pool de prestations en faveur de toute l’administration fédérale en matière de projets clés TIC, de grands projets TIC ou de projets complexes et stratégiques. Les mandats concrets sont attribués aux adjudicataires par des processus électroniques mini-tenders (mise au concours). Tous les prestataires choisis pour intervenir doivent en outre passer avec succès le contrôle de sécurité relatif aux personnes de la Confédération.

L’exploitation et la maintenance du système d’information PNR relèvent de la responsabilité du Centre de services informatiques du DFJP (CSI‑DFJP) et de ses collaborateurs. Il n’est pas fait appel à des prestataires externes pour l’exploitation et la maintenance de la solution.

Enfin, selon la let. d, les autorités compétentes (cf. art. 1, al. 2) doivent aussi pouvoir accéder au système d’information PNR afin de recevoir et de traiter les données qui leur sont communiquées par l’UIP. L’accès est limité au «prélèvement» de ces données.

Section 6 Protection des données

Art. 17 Principes

Les données relatives aux passagers aériens sont traitées non seulement par l’UIP, mais aussi par les autorités de la Confédération et des cantons auxquelles ces données sont communiquées.

La consultation a souligné la nécessité de préciser dans la loi que le traitement des données est régi par des bases légales de protection des données différentes selon l’autorité compétente.

Une première étape consiste à déterminer s’il s’agit d’une autorité de la Confédération ou d’un canton et, par conséquent, si c’est le droit fédéral ou le droit cantonal qui s’applique. Les autorités de poursuite pénale constituent cependant un cas à part (cf. commentaire de l’al. 2).

La deuxième étape consiste à vérifier s’il existe des dispositions particulières fédérales ou cantonales s’appliquant à l’autorité concernée qui priment le droit général de la protection des données fédéral ou cantonal.

Al. 1

Dans son message du 15 septembre 2017 concernant la loi fédérale sur la révision totale de la loi fédérale sur la protection des données et sur la modification d’autres lois fédérales⁴⁹, le Conseil fédéral expose:

«Pour le reste, le P-LPD reste, à l’instar de la LPD, une législation générale sur la protection des données. Par conséquent, si des traitements de données personnelles sont régis par des dispositions de protection des données prévues dans d’autres lois fédérales, celles‑ci sont en principe applicables en vertu du principe de la priorité des dispositions spéciales sur les dispositions générales.»

L’UIP étant une autorité de la Confédération, elle est tenue de respecter la LPD lors du traitement des données pour autant que la présente loi ne prévoie pas de dispositions particulières. Or, les dispositions de la présente loi relatives à la protection des données, notamment les art. 17 à 26, s’apparentent à des dispositions spéciales et priment donc la LPD.

Al. 2

Les dispositions en matière de protection des données prévues dans le P‑LDPa ne s’appliquent pas aux autorités qui reçoivent des données de l’UIP au sens de la présente loi. Selon l’autorité concernée, les dispositions de la LPD ne s’appliquent pas non plus.

Autorités de poursuite pénale fédérales et cantonales: dans les procédures pendantes, la protection des données devant être garantie est définie par le droit de procédure applicable et notamment par les art. 95 à 103 CPP. Le droit fédéral et cantonal sur la protection des données s’applique à nouveau seulement une fois que la procédure est clôturée (cf. art. 99, al. 1, CPP). Il s’applique également aux procédures administratives de première instance (cf. art. 2, al. 3, LPD). Dans son message précité, le Conseil fédéral précise à ce sujet⁵⁰:

«Aux termes de l’art. 2, al. 3, P‑LPD, les traitements de données personnelles effectués dans le cadre de procédures devant des tribunaux ou dans le cadre de procédures régies par les dispositions de la procédure fédérale, ainsi que les droits des personnes concernées, obéissent au droit de procédure applicable. La norme règle le rapport entre la LPD et le droit de procédure, et fixe comme principe général que seul le droit de procédure applicable détermine d’une part la manière dont les données personnelles sont traitées dans les procédures et d’autre part les droits des personnes concernées. Le droit de procédure garantit également la protection de la personnalité et des droits fondamentaux de toutes les personnes impliquées, offrant ainsi une protection équivalente à celle de la LPD. Si la LPD s’appliquait dans ce domaine, on serait confronté à un risque de conflits de normes et de contradictions, qui pourrait perturber le la bonne application des règles de procédure.»

Autorités de police de la Confédération en dehors d’une procédure de poursuite pénale: la protection des données est déterminée par la LPD, pour autant que le droit fédéral ne prévoie pas de dispositions spéciales. De telles dispositions sont présentes dans la LSIP, la LMSI et l’ordonnance du 30 novembre 2001 concernant l’exécution de tâches de police judiciaire au sein de l’Office fédéral de la police⁵¹.

Autorités de police des cantons en dehors d’une procédure de poursuite pénale: la protection des données est déterminée par la loi cantonale sur la protection des données pour autant que des dispositions spéciales cantonales ne priment pas.

SRC: les art. 44 à 67 LRens priment les dispositions de la LPD.

Organes d’exécution cantonaux visés à l’art. 9 LRens: lorsque ces autorités cantonales travaillent comme des autorités d’exécution cantonales au sens de l’art. 46, al. 1, LRens, elles sont soumises au droit fédéral de protection des données, pour autant que des dispositions particulières de la LRens ne priment pas. En revanche, lorsque les services de renseignement cantonaux travaillent dans leur propre domaine de compétence cantonal, la protection des données à garantir est celle définie dans le droit cantonal.

Art. 18 Pseudonymisation des données relatives aux passagers aériens

Lors de la pseudonymisation, les données qui permettent d’identifier une personne concrète sont remplacées par des indications neutres (pseudonyme). Un tableau de concordances spécifie le pseudonyme correspondant aux données d’identification. Ce tableau doit être enregistré ailleurs que dans le système d’information PNR. Aussi longtemps que ce tableau existe et qu’il est accessible aux personnes autorisées, la pseudonymisation peut être annulée (cf. art. 19 et 20).

Dans le cadre de la consultation, plusieurs participants se sont référés à l’arrêt de la CJUE pour demander de raccourcir considérablement la durée de conservation des données qu’il n’est pas nécessaire de garder plus longtemps.

Ainsi, il est demandé implicitement que dans tout le champ d’application du PNR, une distinction soit faite entre les données qui contiennent des éléments objectifs indiquant que certaines personnes pourraient représenter un danger dans le domaine des infractions terroristes ou de la grande criminalité ("données marquées"), et les données ne contenant pas de tels éléments (autres données relatives aux passagers aériens). La présente loi prévoit d’appliquer des règles différentes aux unes et aux autres.

L’une de ces règles est la pseudonymisation. Doivent être pseudonymisées au sens de l’art. 18 uniquement les données qui n’ont pas été communiquées à une autorité compétente et ne sont par conséquent pas marquées en vertu de l’art. 7, al. 3. De même, les données dont le marquage a été supprimé par la suite (cf. art. 11) doivent être pseudonymisées un mois après leur introduction dans le système d’information PNR.

Selon le message relatif à la nouvelle loi sur la protection des données précité, la pseudonymisation est considérée comme une mesure technique appropriée pour assurer la sécurité des données personnelles (cf. art. 8 LPD)⁵². De plus, dans ce message, le Conseil fédéral déclare que la loi sur la protection des données ne s’applique pas aux données «si une ré-identification par un tiers est impossible (les données ont été anonymisées complètement et définitivement) ou ne paraît possible qu’au prix d’efforts tels qu’aucun intéressé ne s’y attèlera. Cette dernière règle vaut aussi pour les données pseudonymisées.»

La pseudonymisation consiste à attribuer un pseudonyme aux données d’un dossier passager qui donnent des renseignements sur la personne physique concernée. Une fois pseudonymisées, les données concernées ne peuvent plus être associées à une personne identifiée ou identifiable, si bien qu’elles perdent leur statut de données personnelles.

Dans son message, le Conseil fédéral écrit encore que pseudonymiser les données est l’une des mesures techniques devant permettre «d’éviter toute violation de la sécurité des données, soit toute violation de la sécurité entraînant la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisé à ces données, et ce indépendamment de la question de savoir si la violation est intentionnelle ou non, licite ou illicite»⁵³.

Un dossier passager contient les données personnelles au sens de l’art. 5, let. a, LPD (cf. annexe 1 de la présente loi) suivantes:

• – prénom(s) et nom(s) du passager ainsi que prénom(s) et nom(s) des autres voyageurs figurant dans le dossier passager (catégories 4 et 17);

• – adresse et coordonnées (catégorie 5);

• – détails sur les cartes de crédit utilisées et adresse de facturation du billet d’avion (catégorie 6);

• – programme «grands voyageurs» (catégorie 8);

• – nom de la personne responsable du dossier à l’agence de voyage qui a effectué la réservation du billet d’avion (catégorie 9);

• – toutes les informations disponibles sur les personnes non accompagnées de moins de 18 ans, telles que le nom, le sexe, l’âge, les langues parlées, le nom et les coordonnées de la personne présente au départ et son lien avec la personne mineure, le nom et les coordonnées de la personne présente à l’arrivée et son lien avec la personne mineure, l’agent présent au départ et l’agent présent à l’arrivée (catégorie 12);

• – les données API (cf. art. 104, al. 3, LEI), qui sont aussi des données personnelles: (a) l’identité des passagers (nom, prénom, sexe, date de naissance, nationalité); (b) le numéro, l’État émetteur, le type et la date d’échéance du document de voyage utilisé; (c) le numéro, l’État émetteur, le type et la date d’échéance du visa ou du titre de séjour utilisé, pour autant que l’entreprise de transport aérien dispose de ces données (catégorie 18);

• – modifications ultérieures des données personnelles figurant dans le dossier passager.

Les données personnelles faisant partie de ces catégories de données doivent être pseudonymisées.

Contrairement à l’anonymisation, la pseudonymisation peut être levée à certaines conditions.

Les données qui présentent des indices objectifs de grande criminalité, qui ont été communiquées à une autorité compétente au sens de l’art. 1, al. 2, en vue de clarifications et qui ont par conséquent été marquées par l’UIP (cf. art. 7) ne doivent en revanche pas être pseudonymisées.

Al. 1

Les données relatives aux passagers aériens qui ne livrent pas d’indice de grande criminalité et qui n’ont par conséquent pas été communiquées à une autorité visée à l’art. 1, al. 2, n’ont pas de marquage (cf. art. 7, al. 3). Elles sont pseudonymisées automatiquement un mois après leur introduction dans le système d’information PNR et ne peuvent donc plus être attribuées au passager aérien concerné.

Les données marquées ne sont en revanche pas pseudonymisées.

Al. 2

Si l’autorité compétente constate qu’elle n’a plus besoin des données pour sa procédure, elle doit en informer l’UIP, qui supprime alors le marquage des données concernées (cf. art. 10, al. 2).

Une fois le marquage supprimé, ces données:

• – doivent être pseudonymisées par l’UIP, pour autant que le vol associé aux données ait eu lieu entre un et six mois auparavant;

• – doivent être effacées par l’UIP, pour autant que le vol ait eu lieu plus de six mois auparavant (cf. art. 21, al. 2).

Art. 19 Levée ordinaire de la pseudonymisation

Seules les données personnelles d’un dossier passager non marquées ou dont le marquage a été supprimé par la suite sont pseudonymisées (cf. art. 18, al. 2).

Malgré la comparaison automatique des données relatives aux passagers aériens prévue à l’art. 6 et la vérification manuelle qui s’ensuit, le délai d’un mois avant la pseudonymisation s’avère toutefois très court. Il doit donc être possible de consulter la base de données du système d’information PNR même si les données datent de plus d’un mois et que, n’étant pas marquées, elles ont été pseudonymisées. Compte tenu de ces requêtes effectuées dans l’historique, il faut que la pseudonymisation puisse être levée en cas de besoin.

Cet article établit que la pseudonymisation peut être levée seulement si le TAF considère que les conditions légales pour ce faire sont remplies et qu’il approuve cette étape de traitement.

Du point de vue technique, il a été fait en sorte que la levée de la pseudonymisation approuvée par le tribunal ne peut être exécutée que si:

• – l’opération est effectuée par une personne habilitée à le faire; et

• – l’arrêt du TAF est mentionné ou suffisamment référencé d’une autre manière.

Cette étape est inscrite au procès-verbal, de sorte qu’il est possible de vérifier ultérieurement si la pseudonymisation a été levée conformément au droit (cf. art. 24).

Conformément aux art. 19 et 20, la pseudonymisation doit être levée lorsqu’une autorité compétente le demande.

Si une demande d’accès de la personne concernée au sens de l’art. 26, al. 1, nécessite une levée de la pseudonymisation, cette étape peut être effectuée non pas en vertu des dispositions susmentionnées ni sur la base d’un arrêt du TAF, mais conformément à l’art. 25, al. 2, let. b, LPD, qui dispose que la personne concernée doit recevoir «les données personnelles traitées en tant que telles» dans l’accès octroyé.

Toutefois, la levée de la pseudonymisation doit également être consignée dans un procès-verbal sur la base de la demande d’accès (cf. art. 24). Celle‑ci doit être mentionnée ou suffisamment référencée d’une autre manière dans le procès-verbal. Les modalités seront réglées en détail au niveau de l’ordonnance.

Al. 1

Les autorités visées à l’art. 1, al. 2, peuvent demander à l’UIP la levée de la pseudonymisation.

Al. 2 et 3

Dans un premier temps, l’UIP vérifie si la demande est suffisamment motivée.

Les motifs de la demande sont réputés suffisants:

• – si les données devant faire l’objet d’une levée de la pseudonymisation sont définies. Cette condition est remplie lorsque la demande de levée de la pseudonymisation concerne par exemple une personne précise. Dans des cas exceptionnels et dûment motivés, il peut également s’agir d’un vol dans son intégralité;

• – s’il est rendu vraisemblable que la levée de la pseudonymisation fournit des informations déterminantes à des fins de lutte contre une infraction spécifique visée à l’annexe 2 de la loi sur les données relatives aux passagers aériens. Les informations requises doivent être décrites avec la plus grande précision possible.

Si la demande n’est pas motivée ou ne l’est pas suffisamment, l’UIP en informe l’autorité requérante, qui a la possibilité de compléter sa demande (al. 3).

L’UIP recommande la levée de la pseudonymisation lorsque cela permet d’obtenir sur le plan technique les informations recherchées. Il n’est pas possible d’obtenir sur le plan technique des informations ne pouvant pas figurer dans un dossier passager, ni des données datant de plus de six mois. De telles données ont déjà été effacées (car non marquées) ou n’ont pas été pseudonymisées (car marquées).

Si la demande est suffisamment fondée, l’UIP la transmet au TAF assortie de sa recommandation.

Al. 4 et 5

Le TAF statue sur l’éventuelle levée de la pseudonymisation. Les droits allemand⁵⁴ et autrichien⁵⁵ prévoient eux aussi la compétence d’un tribunal en application de l’art. 12, al. 3, de la directive PNR de l’UE.

Le délai octroyé au TAF est de cinq jours ouvrables au maximum. Ce délai maximum ne dispense pas pour autant le tribunal de statuer aussi rapidement que possible en fonction de la gravité du soupçon.

La décision est définitive. Les recours auprès du Tribunal fédéral contre les décisions concernant la sûreté intérieure ou extérieure de la Suisse sont irrecevables conformément à l’art. 83, let. a, de la loi du 17 juin 2005 sur le Tribunal fédéral⁵⁶.

Al. 6

Le TAF notifie son arrêt aussi bien à l’UIP qu’à l’autorité requérante.

Art. 20 Levée de la pseudonymisation en cas d’urgence

Cette procédure en cas d’urgence démontrée se fonde sur l’art. 31 LRens.

Dans un cas d’urgence, le directeur de fedpol doit pouvoir ordonner provisoirement la levée de la pseudonymisation. Il en informe ensuite sans délai le chef du DFJP, qui peut faire suspendre la levée de la pseudonymisation (cf. art. 31, al. 1, LRens).

Le chef du DFJP peut être amené à le faire uniquement si l’urgence est discutable. La décision de suspension exige d’annuler toutes les étapes visant à lever la pseudonymisation déjà effectuées et d’attendre que le TAF rende son arrêt.

Le TAF statue sur la demande du directeur de fedpol dans un délai de trois jours ouvrables (cf. art. 31, al. 2 et 3, LRens).

Si le TAF rend une décision négative, toutes les étapes effectuées par suite de la décision provisoire ordonnée par le directeur de fedpol doivent être entièrement annulées.

Art. 21 Durée de conservation et effacement des données relatives aux passagers aériens

Cet article ne concerne que les données relatives aux passagers aériens et règle leur effacement et donc indirectement leur durée de conservation.

L’effacement de toutes les autres données résultant du traitement effectué par l’UIP ou liées à ce traitement est régi par l’art. 22. L’effacement des procès-verbaux constitue une exception (cf. art. 24, al. 4).

Sont effacées au sens de la présente loi les données et les informations qui ont été effacées irrévocablement et ne peuvent plus être rétablies. Il s’agit d’une procédure automatique par laquelle l’espace de stockage est écrasé plusieurs fois de suite.

Dans son arrêt du 21 juin 2022, la CJUE précise sans équivoque que la conservation pendant six mois de toutes les données relatives à des passagers aériens peut se justifier.

En revanche, la conservation au-delà de ce délai devrait se limiter au strict nécessaire aux fins d’enquête et de poursuite:

«Dans la mesure où, toutefois, sont identifiés, dans des cas particuliers, des éléments objectifs, tels que les données PNR […] ayant donné lieu à une concordance positive vérifiée, qui permettent de considérer que certains passagers pourraient présenter un risque en matière d’infractions terroristes ou de formes graves de criminalité, un stockage de leurs données PNR paraît admissible au-delà de cette période initiale»⁵⁷.

Plusieurs participants à la consultation se sont ralliés à ce point de vue, invoquant parfois l’arrêt cité dans leurs prises de position.

L’art. 21 prévoit ainsi différentes durées de conservation en fonction des données:

• – pour les données non marquées: six mois;

• – pour les données marquées qui ont plus de six mois: jusqu’à la suppression du marquage et cinq ans au maximum après leur introduction dans le système d’information PNR.

Cette règlementation indirecte permet également d’établir que les durées de conservation autorisées sont des délais absolus.

Al. 1

Une durée de conservation de six mois s’applique à toutes les données relatives à des passagers aériens qui ne sont pas marquées. Celles‑ci sont ensuite effacées automatiquement au bout de six mois.

Al. 2

Les données relatives à des passagers aériens marquées peuvent être conservées pendant cinq ans, puis sont ensuite également effacées automatiquement.

Si le marquage est supprimé avant l’expiration du délai de conservation autorisé pour les données marquées, l’UIP doit alors, en fonction de leur date d’introduction dans le système d’information PNR, pseudonymiser ou effacer immédiatement ces données qui deviennent à nouveau des données non marquées (cf. commentaire de l’art. 18, al. 2).

Art. 22 Effacement de données supplémentaires

Contrairement à l’art. 21, qui règle l’effacement des données relatives aux passagers aériens, l’art. 22 vise les données supplémentaires susceptibles d’être générées lors du traitement des données relatives aux passagers aériens conformément à la présente loi.

L’effacement a lieu «sans délai» après prise de connaissance des circonstances qui en sont la cause.

Sont effacées au sens de la présente loi les données et les informations qui ont été effacées irrévocablement et ne peuvent plus être rétablies. Il s’agit d’une procédure automatique par laquelle l’espace de stockage est écrasé plusieurs fois de suite.

Let. a

En vertu de l’art. 5, al. 2, l’UIP ne peut traiter que les données biométriques et les données sur les poursuites ou sanctions pénales ou administratives. Elle doit effacer sans délai toute autre donnée sensible.

Let. b

Toute concordance obtenue par suite de la comparaison automatique des données doit être vérifiée manuellement avant d’être communiquée à une autorité compétente (cf. art. 6, al. 2).

La let. b définit les conditions auxquelles les concordances vérifiées ne doivent pas être communiquées, mais effacées sans délai.

D’une part, la concordance obtenue doit être effacée si elle ne peut pas clairement être attribuée à une infraction pénale visée à l’annexe 2 (cf. ch. 1). D’autre part, elle doit être effacée si la personne recherchée et le passager aérien ne sont pas identiques (cf. ch. 2).

Let. c

Les données relatives aux passagers aériens qui ont été communiquées à une autorité conformément à l’art. 1, al. 2, et ont donc été marquées, sont effacées automatiquement après un délai de cinq ans, à moins que leur marquage n’ait été supprimé de façon anticipée (cf. art. 21, al. 2).

La let. c établit que les données ayant été communiquées à l’autorité compétente en même temps que les données relatives aux passagers aériens doivent être effacées dès lors que ces dernières ont été supprimées.

Let. d

Les profils de risque et les listes d’observation contiennent des données qui ne sont pas effacées en vertu de l’art. 21. Celles‑ci doivent être effacées conformément à l’art. 22, let. d, dès qu’elles ne sont plus nécessaires.

Let. e

Les données saisies dans une liste d’observation conformément à l’art. 14 constituent un cas particulier. Elles doivent être effacées après l’expiration du délai fixé par le tribunal des mesures de contrainte (cf. art. 14, al. 2). Si elles ne sont plus nécessaires avant ce délai, ces données doivent être effacées comme prévu à la let. d.

Art. 23 Traitement de données anonymisées

Les données sont considérées comme anonymisées lorsqu’elles ne peuvent plus être attribuées à une personne identifiée ou identifiable et que cette perte du statut de données personnelles est irrévocable.

L’anonymisation fait irrévocablement perdre aux données leur statut de données personnelles (cf. art. 5, let. a, LPD). Ce caractère irrévocable est ce qui distingue l’anonymisation de la pseudonymisation. Cette dernière peut être levée à certaines conditions (cf. art. 19 et 20), si bien que les données peuvent à nouveau être attribuées à une personne identifiée ou identifiable.

L’UIP peut traiter des données anonymisées à des fins statistiques. Elle peut également les proposer aux Archives fédérales (cf. art. 6 de la loi fédérale du 26 juin 1998 sur l’archivage⁵⁸).

Art. 24 Journalisation du traitement de données

Al. 1

Les étapes de traitement qui doivent impérativement être consignées dans un procès-verbal sont définies à l’art. 4, al. 2, OPDo: «lors du traitement automatisé de données personnelles, [il convient de journaliser] au moins l’enregistrement, la modification, la lecture, la communication, l’effacement et la destruction des données».

Le droit suisse de la protection des données ne fournit pas de définition juridique du terme automatisé. Selon les informations écrites transmises par l’OFJ le 23 novembre 2022, automatisé peut être décrit comme la contrepartie de manuel. «Alors que le traitement manuel des données implique l’action d’une personne, le traitement automatisé est effectué par un automate». Il s’agit là d’une «machine dont la commande mécanique ou électronique a pour effet que les opérations qu’elle exécute de façon autonome produisent un résultat qui dépend d’une tâche préalable [traduction libre de l’allemand]».

L’OFJ souligne toutefois que l’obligation de journaliser le traitement des données s’applique également «lorsque certaines étapes de travail sont effectuées manuellement». Il précise que la journalisation devrait avoir lieu notamment «lorsqu’il n’est pas possible d’établir a posteriori si les données ont été traitées dans le but pour lequel elles avaient été collectées ou communiquées».

En vertu de l’art. 4, al. 4, OPDo, les procès-verbaux doivent fournir des informations sur:

• – l’identité de la personne qui a effectué le traitement;

• – la nature du traitement;

• – la date et l’heure du traitement;

• – l’identité du destinataire des données.

Ces procès-verbaux permettent ainsi de vérifier ultérieurement tout traitement de données personnelles.

Al. 2 et 3

L’al. 2 fixe les buts poursuivis par la journalisation⁵⁹. L’énumération exhaustive exclut l’utilisation de la journalisation pour surveiller des collaborateurs. Les autorisations d’accès octroyées à l’al. 3 vont également dans ce sens.

Al. 4

Les procès-verbaux sont établis automatiquement et doivent être conservés en dehors du système d’information PNR. Il s’agit ainsi de garantir que les procès-verbaux ne soient pas manipulés et restent en sécurité, même en cas de cyberattaque. Il est prévu d’enregistrer les procès-verbaux sur l’infrastructure du CSI‑DFJP.

Il est précisé dans le rapport explicatif susmentionné concernant l’OPDo que les procès-verbaux devront être conservés durant un an (cf. art. 4, al. 5, OPDo). «Cette durée minimale ne permet cependant pas de conserver les procès-verbaux pendant une durée excessive. La durée de conservation doit en effet être proportionnée à la finalité de sécurité des données».⁶⁰

La présente loi prévoit que les procès-verbaux portant sur le traitement automatisé des données relatives aux passagers aériens sont disponibles un an de plus que les données dont le traitement a été consigné dans ces procès-verbaux. Ils doivent ensuite être effacés.

Jusqu’à leur effacement, les procès-verbaux sont disponibles à des fins de contrôle et de surveillance, mais toutefois pas pour l’UIP.

Art. 25 Surveillance

Le conseiller à la protection des données de fedpol veille, de façon indépendante et sans être soumis à aucun pouvoir d’instruction, au respect des dispositions en matière de protection des données au sein de l’office (cf. art. 26, al. 1 et 2, OPDo). Il exerce également cette tâche vis-à-vis de l’UIP.

Le conseiller à la protection des données est en outre l’interlocuteur du PFPDT (art. 28 OPDo).

fedpol a les obligations ci-après à l’égard du conseiller à la protection des données: lui fournir l’accès à tous les renseignements, documents, registres des activités de traitement et données personnelles dont il a besoin pour accomplir ses tâches et lui annoncer les éventuelles violations de la sécurité des données.

Malgré la fonction de soutien et de contrôle⁶¹ qui revient au conseiller à la protection des données, c’est le PFPDT qui est chargé effectivement de la surveillance.

Ni le conseiller à la protection des données ni le PFPDT ne sont responsables de la conformité du traitement des données personnelles aux règles de la protection des données. Cette responsabilité n’incombe qu’à fedpol, selon le message concernant la nouvelle loi sur la protection des données⁶².

Art. 26 Droit d’accès

Les entreprises de transport aérien doivent informer les passagers, lors de la réservation de leur billet d’avion, du traitement de leur données conformément à la présente loi (cf. art. 4).

Grâce aux informations fournies par les entreprises de transport aérien, les personnes concernées peuvent exercer leur droit d’accès en vertu de l’art. 26. Elles peuvent adresser à fedpol une demande d’accès.

Il convient de distinguer deux types de droits d’accès:

• – le droit d’accès direct (al. 1), qui s’applique aux données ne datant pas de plus de six mois et découle des art. 25 à 28 LPD;

• – le droit d’accès indirect (al. 2), qui s’applique aux données datant de plus de six mois et est régi par analogie par l’art. 8 LSIP.

Cette double approche selon la date des données s’explique par le fait qu’après six mois, seules sont conservées les données relatives aux passagers aériens marquées, qui se trouvent en cours de traitement auprès de l’autorité compétente. Pouvoir accéder aux données d’un vol en cours de traitement alors qu’elles datent de plus de six mois indique au requérant qu’une procédure est en cours et que des soupçons pèsent sur sa personne.

Fournir cette information peut nuire considérablement aux procédures préliminaires et aux procédures d’enquête en cours.

L’art. 26, al. 2, let. b, LPD prévoit certes, dans de tels cas, la possibilité de refuser, de restreindre ou de différer la communication des renseignements. Selon cette même loi, un autre renseignement devrait en revanche être fourni à la grande majorité des passagers du même vol, à savoir que leurs données ne sont pas ou plus traitées, car elles ont déjà été effacées en vertu de l’art. 21, al. 1.

S’agissant des données relatives aux passagers aériens, le fait de refuser, restreindre ou différer la communication des renseignements en vertu de l’art. 26, al. 2, let. b, LPD signifie que les données en question sont encore traitées après l’expiration du délai de six mois. La personne concernée pourrait l’en déduire. En effet, les données relatives aux passagers aériens ne peuvent être traitées au-delà de six mois que si elles ont été marquées et donc communiquées par une autorité compétente.

Afin d’éviter cette information indésirable, la loi sur les données relatives aux passagers aériens renvoie au droit d’accès indirect prévu à l’art. 8 LSIP.

Dans de tels cas, qu’il dispose ou non de données, fedpol donne toujours la même réponse: l’obligation de renseigner est reportée. Le requérant peut toutefois exiger du PFPDT qu’il vérifie si les éventuelles données le concernant sont traitées licitement.

Le PFPDT procède à la vérification si des indices suffisants font penser qu’un traitement des données pourrait être contraire à des dispositions de protection des données (art. 49, al. 1, LPD). Il informe ensuite le requérant des démarches entreprises et du résultat d’une éventuelle enquête.

Cette information, élémentaire pour le requérant, n’est refusée à personne, même dans le cadre du droit d’accès indirect prévu à l’art. 8 LSIP, donc pas non plus aux passagers dont les données sont marquées auprès de l’UIP et traitées par une autorité compétente au sens de l’art. 1, al. 2.

Indépendamment de cela, fedpol doit accorder l’accès au requérant une fois que les intérêts au maintien du secret ne sont plus d’actualité et au plus tard après expiration de la durée maximale de conservation autorisée de cinq ans. Les personnes au sujet desquelles aucune donnée n’a été traitée en sont informées par fedpol trois ans après réception de leur demande (cf. art. 8, al. 6, LSIP).

Section 7 Organisation et personnel de l’UIP

Art. 27 Organisation

Al.1

L’UIP est rattachée à fedpol. Cette attribution résulte d’une part de la finalité du traitement des données. Elle se justifie d’autre part par la vaste expérience de fedpol dans le domaine des systèmes d’information, ce qui aura indubitablement une répercussion positive sur la mise en place et l’exploitation du système d’information PNR.

Al. 2

Pour ce qui est de la particularité des données relatives aux passagers aériens, dont il convient de garantir la protection, il est justifié que l’UIP soit distincte, sur le plan de l’organisation, des unités de fedpol qui assument des tâches d’enquêtes. Il est également indiqué explicitement que le personnel doit être distinct, ce qui exclut que des collaborateurs puissent travailler simultanément au sein de l’UIP et d’une autorité chargée d’enquêtes ou de poursuites pénales.

Cela permet d’éviter que ces autorités obtiennent de façon informelle un accès privilégié à des informations détenues par l’UIP. Toutes les autorités compétentes visées à l’art. 1, al. 2, qu’elles soient fédérales ou cantonales, sont ainsi soumises aux mêmes conditions pour obtenir des données de l’UIP.

S’agissant du PNR, l’UIP, rattachée à fedpol, doit être le point de contact unique (single point of contact) tant pour les entreprises de transport aérien que pour les UIP étrangères.

L’UIP pourra si nécessaire assurer un service permanent, afin de pouvoir vérifier à temps également les données relatives aux passagers aériens arrivant pendant les heures creuses.

Art. 28 Personnel

L’UIP doit se composer à parts égales de collaborateurs de la Confédération et des cantons. C’est en détachant des collaborateurs que les cantons participent aux frais de l’UIP. Il n’est pas prévu qu’ils apportent une participation supplémentaire.

Étant donné que les collaborateurs cantonaux sont intégrés temporairement dans l’exploitation de l’UIP sans qu’il soit mis fin à leur rapport de travail auprès du canton, ce modèle de collaboration se rapproche le plus d’une véritable mise à disposition de travailleurs à titre principal (travail en régie), qui est un type de location de services. Le Conseil fédéral écrit à ce sujet dans le message du 27 novembre 1985 concernant la révision de la loi fédérale sur le service de l’emploi et la location de services⁶³:

«Le travailleur n’exécute pas la prestation due dans l’entreprise de son employeur, mais le fait au dehors, dans une entreprise tierce. Cela a pour conséquence une division des fonctions d’employeur: le droit de donner des instructions d’ordre technique touchant des objectifs visés, ou concernant le comportement du travailleur[,] passe à l’entreprise tierce; c’est également le cas du droit à la sauvegarde des intérêts et du secret, de même que, cela va sans dire, du devoir d’assistance sociale incombant à l’employeur. Les autres droits et obligations découlant du contrat de travail continuent d’être assumés par le bailleur de services, notamment l’obligation de payer le salaire et le devoir général d’assistance sociale.»

Ces considérations s’appliquent par analogie également au détachement de collaborateurs auprès de l’UIP.

La Confédération et les cantons doivent régler les détails du détachement par convention.

Le commentaire bâlois de la Constitution fédérale (Cst.)⁶⁴ souligne à ce sujet:

«Comme la Constitution fédérale ne prévoit pas que les conventions fixant des règles de droit conclues entre la Confédération et les cantons sont une forme d’acte législatif à part entière (art. 163 Cst.), les conditions-cadres de la convention doivent au moins être fixées par une loi fédérale (art. 164 Cst.) ou, en cas de dispositions d’une importance mineure, par une ordonnance. Ce n’est qu’en vertu de cette base juridique […] qu’une convention peut être conclue avec les cantons [traduction libre]⁶⁵».

L’art. 28 constitue la base légale de la convention que la Confédération et les cantons doivent conclure et définit notamment:

• – le but et l’étendue du détachement (al. 1);

• – le financement (al. 2); et

• – les dispositions spéciales importantes en matière de droit du personnel (al. 3 et 4).

L’al. 5 s’entend comme une norme de délégation et habilite le Conseil fédéral à régler les détails susmentionnés dans la convention avec les cantons.

Demeure pour l’instant ouverte la question de savoir si les cantons règlent entre eux leur participation respective dans le cadre d’un concordat ou d’une autre façon. Elle n’a pas besoin d’être réglée par le droit fédéral.

Al. 1

Compte tenu du système fédéral de la Suisse, le travail de police et la poursuite pénale relèvent généralement de la compétence première des cantons. En revanche, la Confédération assume la poursuite de certaines infractions pénales graves, telles que le terrorisme ou le crime organisé, et celle de diverses infractions relevant du droit pénal accessoire fédéral, dont font partie les éléments constitutifs de l’infraction contenus par exemple dans les lois sur l’énergie nucléaire⁶⁶, sur la transplantation⁶⁷ ou sur les armes⁶⁸.

Dans ce contexte, la lutte contre la grande criminalité se veut être une tâche commune de la Confédération et des cantons, chacun ayant ses spécificités. En traitant les données relatives aux passagers aériens, l’UIP appuie à la fois la Confédération et les cantons dans l’accomplissement de cette tâche commune.

C’est la raison pour laquelle l’UIP doit se composer à parts égales de collaborateurs de la Confédération et des cantons.

Al. 2

L’engagement des collaborateurs cantonaux au sein de l’UIP n’entraîne pas la suppression du rapport de travail existant, mais seulement une division du rôle de l’employeur, comme en cas de location de services⁶⁹.

Le droit de donner des instructions sur des questions techniques et opérationnelles, qui inclut notamment le droit de fixer les horaires de travail, est transféré à fedpol pendant l’engagement auprès de l’UIP. En revanche, le droit de donner des instructions sur le plan disciplinaire reste une compétence de l’autorité qui détache son personnel.

Les autres droits et obligations découlant du contrat de travail, notamment l’obligation de payer le salaire et de verser les cotisations de l’employeur prévues par le droit des assurances sociales, restent du ressort de l’autorité mettant des collaborateurs à la disposition de l’UIP.

La Confédération supporte à elle seule les coûts relatifs à l’infrastructure des places de travail au sein de l’UIP ainsi que ceux relatifs à la mise en place et à l’exploitation du système d’information PNR.

Il convient de noter que la Confédération n’est pas seulement responsable de ses collaborateurs, mais aussi de ceux détachés par les cantons et engagés auprès de l’UIP, au sens de l’art. 1, al. 1, let. f, de la loi du 14 mars 1958 sur la responsabilité⁷⁰.

Al. 3

Les al. 3 et 4 prévoient des dispositions spéciales en matière de droit du travail qui s’appliquent pendant l’engagement auprès de l’UIP. Ces dispositions spéciales nécessitent une base légale.

Les dispositions spéciales concernent en particulier:

• – le droit partagé de donner des instructions (al. 3);

• – le devoir des collaborateurs de respecter le secret professionnel (al. 4), également vis-à-vis de leur employeur contractuel.

Le droit de donner des instructions est considéré comme partagé, car il est exercé aussi bien par l’employeur qui détache son personnel que par fedpol ou l’UIP. Celle‑ci exerce le droit de donner des instructions techniques et opérationnelles, ce qui englobe tout ce qui ne relève pas du droit de donner des instructions disciplinaires, lequel reste du ressort de l’employeur contractuel.

Si, lors de son engagement au sein de l’UIP, une personne détachée a un comportement susceptible de justifier des mesures disciplinaires, fedpol devra chercher le dialogue avec l’employeur contractuel. Celui-ci examinera alors quelles mesures disciplinaires sont indiquées. Dans la grande majorité des cas, des instructions suffiront. Dans des cas exceptionnels, il faudra, à des fins disciplinaires, prononcer le licenciement immédiat. Cette possibilité reste également du ressort de l’employeur contractuel et n’est pas affectée par le détachement.

Al. 4

Selon cet alinéa, il est interdit aux collaborateurs de l’UIP de disposer librement en dehors de l’UIP des éléments dont ils ont connaissance durant leur engagement. Cette disposition s’applique également une fois leur engagement terminé. Par conséquent, l’échange informel de données personnelles notamment est interdit entre l’UIP et l’unité qui détache ses collaborateurs.

Il est en revanche souhaitable que les collaborateurs, une fois revenus de leur engagement à l’UIP, transmettent à leurs collègues le savoir méthodologique qu’ils y ont acquis en matière de traitement des données relatives aux passagers aériens. On peut par exemple penser aux expériences faites sur la manière de concevoir et d’utiliser des profils de risque et des listes d’observation avec autant d’efficacité que possible. Ainsi, le modèle de détachement garantit un transfert de connaissances de l’UIP aux autorités qui détachent leurs collaborateurs.

Al. 5

Il convient de fixer les modalités relatives au détachement dans la convention que le Conseil fédéral et les cantons doivent conclure.

Il s’agit ainsi de convenir, outre du nombre de collaborateurs cantonaux détachés, des qualifications souhaitées et de viser tout particulièrement les collaborateurs cantonaux qui s’intéressent vivement aux processus numériques. Les autres prétentions financières des personnes détachées, qui doivent également faire l’objet de la convention, concernent notamment les frais. L’employeur contractuel ou le canton qui détache ces personnes est tenu de les indemniser.

Section 8 Conclusion de traités et de conventions et assistance administrative

Art. 29 Conclusion de traités et de conventions

Soixante-neuf États utilisent déjà le PNR. Ils demandent au minimum les données relatives aux passagers aériens sur les vols à destination de leur territoire.

L’art. 2 de la présente loi prévoit une règle analogue à celle de la directive PNR de l’UE: les entreprises de transport aérien doivent communiquer à l’UIP de la Suisse les données relatives aux passagers aériens qui entrent dans notre pays ou en sortent.

Toutefois, les entreprises de transport aérien suisses ne peuvent communiquer leurs données relatives aux passagers aériens à un service compétent étranger que si un traité international signé par la Suisse le prévoit (cf. art. 2, al. 2).

Grâce à l’art. 29, qui autorise le Conseil fédéral à conclure ces traités, l’approbation parlementaire prévue à l’art. 166, al. 2, Cst. n’est pas nécessaire, pour autant que la teneur du contrat soit conforme à la norme de délégation prévue à l’al. 2 de la présente loi.

Un tel traité devra être conclu notamment avec l’UE («organisation internationale»). Il remplacera la solution transitoire élaborée avec le concours du PFPDT qui permet actuellement aux entreprises de transport aérien suisses de communiquer des données à l’UE (cf. ch. 1.2 ci avant).

Près de 72 % des passagers enregistrés dans les aéroports suisses s’envolent à destination de l’UE ou proviennent de l’UE et se rendent en Suisse. Si ce pourcentage certes élevé ne permet pas de déduire directement quel est le volume de données provenant de l’UE, il montre que le trafic aérien entre l’UE et la Suisse est significatif. Par conséquent, un traité international régissant la communication réciproque des données relatives aux passagers aériens est essentiel tant pour la Suisse que pour l’UE. Le Conseil fédéral a octroyé un mandat de négociations ad hoc le 1^er novembre 2023.

D’autres traités sont prévus, entre autres avec la Norvège et le Royaume-Uni.

Al. 1

Les États qui garantissent un niveau de protection adéquat sont inscrits sur la liste de l’annexe 1 de l’OPDo. La Suisse peut leur communiquer des données personnelles sans devoir conclure de traité international. Néanmoins, la présente loi prévoit tout de même de conclure des traités avec eux. Il s’agit ainsi de garantir la communication réciproque de données. Si les deux États signataires estiment que le niveau de protection des données qu’ils s’octroient réciproquement est adéquat (cf. art. 16, al. 1, LPD), le traité se limitera aux modalités relatives à la communication réciproque des données.

Dans son rapport explicatif du 31 août 2022 relatif à l’ordonnance sur la protection des données, l’OFJ explique que la liste des États figurant à l’annexe 1 de l’ordonnance «sera revue périodiquement afin de prendre en compte d’une part la pratique d’autres États et d’autre part les développements au niveau international, en particulier les ratifications de la Convention STE 108. La liste n’est donc pas définitive et pourrait encore être modifiée avant l’entrée en vigueur de l’ordonnance».⁷¹

Dans le message du 15 septembre 2017 concernant la loi fédérale sur la révision totale de la loi fédérale sur la protection des données et sur la modification d’autres lois fédérales, le Conseil fédéral a précisé ce qu’on entend par traité international: «non seulement une convention internationale en matière de protection des données à laquelle l’État destinataire serait partie, telle que la convention STE 108⁷² et son protocole additionnel dont les exigences ont été transposées par l’État partie dans son droit interne, mais aussi tout autre accord international qui prévoit un échange de données entre États parties et qui répond en substance aux exigences de la convention STE 108. Il peut également s’agir d’un traité international conclu par le Conseil fédéral en vertu de l’art. 61, let. b, P‑LPD [qui correspond à l’art. 67, let. b, LPD]».⁷³

Al. 2

Étant donné que la Suisse n’a pas repris toutes les prescriptions de la CJUE, il n’est pas exclu que l’accord avec l’UE prévoie ponctuellement des règles plus strictes en matière de protection des données qui s’écartent de la présente loi. L’al. 2 tient compte de cette éventualité dans la mesure où le Conseil fédéral, si nécessaire, est habilité à convenir dans un traité des traitements moins étendus pour les données provenant de l’UE.

Al. 3

Cet alinéa vise à octroyer à fedpol la compétence de conclure des conventions avec des autorités étrangères en toute autonomie. Cette compétence est restreinte aux aspects opérationnels, techniques ou administratifs.

En revanche, le Conseil fédéral doit toujours fixer dans un traité, conformément à l’al. 1, les questions fondamentales relatives à la protection des données, notamment celles concernant les droits et obligations des autorités.

Art. 30 Assistance administrative

Dans le cas des données PNR aussi, l’assistance administrative doit être fournie par les autorités compétentes (cf. art. 1, al. 2) conformément au droit régissant ces dernières.

L’UIP ne doit fournir une assistance administrative qu’en cas d’urgence; à savoir, comme cela est exprimé à l’al. 2, s’il existe un «risque imminent» qu’une infraction pénale visée à l’annexe 2 soit commise à l’étranger. Les dispositions dérogatoires d’un traité international sont toutefois réservées.

L’assistance administrative que l’UIP octroie à une UIP étrangère se limite ainsi à des cas exceptionnels dûment justifiés, qui légitiment l’action de l’UIP – en lieu et place d’une autorité compétente visée à l’art. 1, al. 2.

Dans le cadre de l’assistance administrative, l’UIP ne communique des données relatives aux passagers aériens à une UIP étrangère que si la demande de cette dernière est dûment motivée et indique au moins:

• – les données souhaitées, désignées précisément;

• – en quoi ces données sont nécessaires pour prévenir une infraction imminente visée à l’annexe 2.

L’UIP n’est autorisée à communiquer des données qu’à une UIP étrangère rattachée à l’administration d’un État qui:

• – conformément à l’annexe 1 de l’OPDo, garantit un niveau de protection adéquat (cf. art. 16, al. 1, LPD); ou

• – sur la base de règles spécifiques prévues dans un traité international conclu avec la Suisse, garantit un niveau de protection approprié (art. 16, al. 2, let. a, LPD).

Si aucune de ces conditions n’est remplie, l’UIP renonce à communiquer des données relatives aux passagers aériens.

Si les données demandées sont pseudonymisées ou sensibles, l’assistance administrative de l’UIP est également exclue.

Section 9 Sanctions administratives

Art. 31 Sanctions en cas de violation des obligations des entreprises de transport aérien

Les sanctions prévues à l’art. 31 constituent des sanctions administratives pécuniaires. En se fondant sur les règles en vigueur du droit fédéral, le Conseil fédéral a décrit ces sanctions dans son rapport du 1^er novembre 2018⁷⁴ comme suit: «[p]our simplifier, on entend par [sanction administrative pécuniaire] une réaction des autorités à une violation passée d’une prescription de droit administratif, consistant à faire payer un montant à la partie dans le cadre d’une procédure administrative.»

Al. 1

La violation du devoir de diligence et de l’obligation d’informer prévus aux art. 3 et 4 est sanctionnée indépendamment du fait que la Confédération prouve ou non que l’entreprise en question est en faute, en application depuis le 1^er octobre 2015 de l’art. 122b LEI relatif à la violation de l’obligation de communiquer des entreprises de transport aérien. Le Conseil fédéral a justifié qu’on ait autrefois renoncé à fournir une telle preuve par les recherches d’envergure qui en résultaient, également à l’étranger, ce qui rendait l’obtention de la preuve quasiment impossible en pratique⁷⁵.

Al. 2

La violation d’une obligation au sens de l’art. 3 de la présente loi est légalement présumée lorsque l’entreprise de transport aérien:

• – omet de communiquer les données relatives aux passagers aériens ou les communique trop tard;

• – ne respecte pas les prescriptions techniques en communiquant les données relatives aux passagers aériens;

• – ne communique pas toutes les données des passagers.

Il en va de même lorsqu’une entreprise de transport aérien n’a pas informé ses passagers du traitement des données prévu à l’art. 4 de la présente loi (cf. commentaire de l’art. 4).

L’UIP doit apporter la preuve que l’entreprise de transport aérien n’a pas communiqué les données conformément aux exigences légales ou n’a pas informé, ou du moins pas de façon adéquate, les passagers du traitement de leurs données en vertu de la présente loi.

Al. 3

Dans les cas de peu de gravité, les autorités peuvent renoncer à introduire une procédure, par exemple lorsque cette dernière serait disproportionnée.

En revanche, la violation du devoir de diligence est considérée comme grave lorsqu’elle est constatée à plusieurs reprises ou lorsque l’ensemble des données d’un vol n’est pas fourni.

Al. 4

Dans le rapport susmentionné, le Conseil fédéral a précisé le concept de sanction administrative pécuniaire indépendante de la faute prévu par le législateur: «L’autorité administrative doit donc [pouvoir] prouver au moins une faute dans l’organisation (violation objective d’un devoir de prudence). L’entreprise peut aussi être sanctionnée en cas de comportement fautif d’une personne responsable. Cette voie médiane a fait ses preuves dans la pratique en droit des cartels et peut être transposée aux autres dispositions consacrant des sanctions administratives pécuniaires. Dans l’ensemble, il n’est pas nécessaire d’apporter des adaptations sur le plan législatif en ce qui concerne la faute du destinataire de la sanction.»⁷⁶

Il n’y a pas de sanction, malgré une éventuelle contestation, lorsque l’entreprise de transport aérien prouve qu’elle a pris toutes les précautions raisonnablement exigibles. C’est par exemple le cas si une panne de courant dont elle n’est pas responsable se produit et rend impossible toute communication des données.

Al. 5

L’al. 5 garantit que les violations de l’obligation de diligence survenues à l’étranger puissent également faire l’objet d’une sanction. C’est notamment le cas lorsqu’une entreprise de transport aérien ne communique pas, pas à temps ou de façon incomplète à l’UIP de la Suisse les données relatives aux passagers aériens en partance pour notre pays.

Art. 32 Procédure

Al. 1

fedpol prononce les sanctions prévues à l’art. 31.

Al. 2

Si une violation de l’obligation des entreprises de transport aérien de communiquer des données personnelles fait l’objet d’une sanction en vertu de l’art. 122b LEI, elle n’est pas sanctionnée une nouvelle fois en vertu de la loi sur les données relatives aux passagers aériens. Cependant, la sanction de la violation de l’obligation d’informer prévue à l’art. 4 est réservée. En effet, seule la loi sur les données relatives aux passagers aériens prévoit la possibilité de sanctionner cette violation, ce qui n’est pas le cas de la LEI.

Al. 3

Le délai de deux ans ne peut pas être prolongé.

Section 10 Dispositions finales

Art. 33 Exécution

Les présentes dispositions d’exécution sont des prescriptions subordonnées ou de détail qui servent à l’exécution de la présente loi. La compétence du Conseil fédéral d’édicter de telles dispositions repose sur l’art. 182, al. 2, Cst.

Art. 34 Modification d’autres actes

L’annexe 3 indique les modifications qui doivent être apportées à d’autres lois en lien avec la présente loi. Sont concernées: la LRens, la LEI, la LDEA, la loi du 17 juin 2005 sur le Tribunal administratif fédéral (LTAF)⁷⁷, la LSIP et la LA.

L’art. 351, al. 1, CP est la base légale permettant à fedpol d’accéder au système d’information d’INTERPOL (I‑24/7). Étant rattachée à fedpol, l’UIP n’a pas besoin d’une base légale supplémentaire pour y accéder.

Annexe 1 Données relatives aux passagers aériens

Le statut du passager (ch. 10) comprend les vols déjà effectués et les vols prévus. Les confirmations, l’enregistrement, la non-présentation ou la présentation à la dernière minute sans réservation doivent être indiqués.

On parle de scission des données (ch. 11) lorsque des personnes effectuent séparément un voyage réservé conjointement. Dans un tel cas, les données relatives aux passagers aériens concernées ne doivent pas être à nouveau collectées, mais séparées.

On parle de partage de code (ch. 15) lorsqu’une autre entreprise de transport aérien achète des places à celle responsable du vol. Si un passager réserve un tel siège, il vole avec les codes des deux entreprises de transport aérien.

Des précisions sur les ensembles de données relatives aux passagers aériens sont fournies également dans le commentaire de l’art. 1, al. 4.

Annexe 2 Catégories d’infractions

Les catégories d’infractions comprennent des infractions terroristes (ch. 1) et d’autres infractions pénales graves (ch. 2); la lutte contre ces dernières autorise le traitement des données relatives aux passagers aériens en vertu de la présente loi.

À l’origine, elles s’inspiraient des catégories d’infractions de la directive PNR de l’UE et y associaient les éléments constitutifs d’infraction déterminants prévus à l’annexe 1 LEIS, élargie dans le cadre de PRÜM⁷⁸. Bien que cet élargissement ne soit pas encore en vigueur, il est déjà pris en compte dans le présent message. Il en va de même pour un autre complément à l’annexe de la LEIS, qui est en cours de préparation.

Sont en outre prises en compte de nouvelles formes graves d’espionnage. Ce complément résulte de l’évolution de la situation géopolitique.

Dans le tableau ci-dessous figurent les infractions qui ont été ajoutées à la suite de la consultation.

À la suite de la consultation et compte tenu des explications de la CJUE, les catégories d’infractions ont à l’inverse été nettement condensées. Désormais, elles ne comprennent plus que les éléments constitutifs d’infractions:

1. qui présentent selon l’arrêt de la CJUE un «niveau de gravité incontestablement élevé» (ch. marg. 149), un «lien direct avec le transport aérien de passagers» (ch. marg. 154) en tant que grande criminalité ou sont du moins «de nature transnationale» (ch. marg. 155);

2. pour lesquels le droit suisse prévoit une peine minimale légale qui peut être comprise comme étant une spécificité du droit national mentionnée par la CJUE et qui permet de déduire une gravité particulière de l’infraction (a contrario du ch. marg. 151 s.).

Les éléments constitutifs de l’infraction en lien avec l’espionnage ajoutés aux catégories d’infractions prévoient aussi une peine minimale légale.

Le commentaire de l’art. 1, al. 4, fournit des explications supplémentaires sur les éléments constitutifs de l’infraction visés à l’annexe 2.

Annexe 3 Modification d’autres actes

Le SRC dispose d’un statut particulier dans la lutte contre les infractions terroristes et les autres infractions pénales graves. Il recherche des informations le plus souvent en amont de l’enquête policière et de la poursuite pénale afin de détecter de façon précoce et de prévenir les menaces pesant sur la sécurité intérieure et extérieure.

Il compare les données relatives aux passagers aériens après leur réception avec celles des systèmes d’information IASA SRC et IASA-EXTR SRC et traite les éventuelles concordances dans le système où elles ont été obtenues.

L’art. 21 de l’ordonnance du 16 août 2017 sur les systèmes d’information et les systèmes de stockage de données du Service de renseignement de la Confédération (OSIS-SRC)⁷⁹ prévoit un délai de conservation de 30 à 45 ans pour les données d’IASA SRC selon le domaine concerné. Les concordances obtenues dans IASA-EXTR SRC sont effacées après quinze ans au plus tard (cf. art. 28, al. 1, OSIS-SRC).

Les données relatives aux passagers aériens n’ayant pas abouti à une concordance restent dans le système de stockage des données résiduelles jusqu’à leur effacement au bout d’un mois.

Art. 16a Données relatives aux passagers aériens

Le SRC est la seule autorité compétente qui reçoit des données relatives aux passagers aériens de la part de l’UIP pour les traiter en toute autonomie. La communication des données relatives aux passagers aériens n’est autorisée que pour les liaisons que le Conseil fédéral détermine au préalable dans une liste non publique. La formulation de cet article s’inspire de celle de l’art. 20, al. 4, LRens.

Le SRC est tenu de respecter la finalité définie à l’art. 11, al. 2, P‑LDPa lors du traitement des données relatives aux passagers aériens: il ne peut les traiter et les comparer avec ses propres données dans le cadre de l’art. 6, al. 1, let. a, ch. 1 à 5, LRens que dans la mesure où cela est nécessaire afin de prévenir les infractions visées à l’annexe 2 du P‑LDPa (al. 2).

Selon l’al. 3, les données n’ayant pas eu pour résultat une concordance par suite de la comparaison automatisée dans les deux systèmes d’information du SRC susmentionnés doivent être effacées automatiquement un mois après leur transmission au SRC.