Le respect des droits fondamentaux exige une limitation des pouvoirs prévus par la directive PNR au strict nécessaire : en l’absence de menace terroriste réelle et actuelle ou prévisible à laquelle fait face un Etat membre, le droit de l’Union s’oppose à une législation nationale prévoyant le transfert et le traitement des données PNR des vols intra-UE ainsi que des transports effectués par d’autres moyens à l’intérieur de l’Union.
Dans un arrêt du 21 juin 2022 (affaire C-817/19), la Cour de justice de l'Union européenne apporte des clarifications sur la directive PNR et son application.
La directive 2016/681 du 27 avril 2016, dite directive PNR, impose le traitement systématique d’un nombre important de données PNR (Passenger Name Record) des passagers aériens des vols extra-UE à l’entrée et à la sortie de l’Union, aux fins de la lutte contre le terrorisme et les formes graves de criminalité. En outre, l’article 2 de cette directive prévoit pour les Etats membres la possibilité d’appliquer celle-ci également aux vols intra-UE.
En premier lieu, la Cour constate que la directive PNR comporte des ingérences d’une gravité certaine dans les droits garantis aux articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, dans la mesure notamment où elle vise à instaurer un régime de surveillance continu, non ciblé et systématique, incluant l’évaluation automatisée de données à caractère personnel de l’ensemble des personnes faisant usage de services de transport aérien. Elle rappelle que la possibilité pour les Etats membres de justifier une telle ingérence doit être appréciée en mesurant sa gravité et en vérifiant que l’importance de l’objectif d’intérêt général poursuivi est en relation avec cette gravité.
La Cour conclut que le transfert, le traitement et la conservation des données PNR prévus par cette directive peuvent être considérés comme étant limités au strict nécessaire aux fins de la lutte contre les infractions terroristes et les formes graves de criminalité, à condition que les pouvoirs prévus par la directive fassent l’objet d’une interprétation restrictive.
En deuxième lieu, la Cour considère que la directive PNR, lue à la lumière de la Charte, s’oppose à une législation nationale qui autorise le traitement des données PNR recueillies (...)
