Demande de décision préjudicielle présentée par le Verwaltungsgericht Wiesbaden (Allemagne) le 19 mai 2020 – JV/Bundesrepublik Deutschland
(Affaire C-215/20)
Langue de procédure : l’allemand
Juridiction de renvoi
Verwaltungsgericht Wiesbaden
Parties dans la procédure au principal
Partie requérante : JV
Partie défenderesse : Bundesrepublik Deutschland
Questions préjudicielles
1. La directive (UE) 2016/681 1 (ci-après la « directive PNR »), en vertu de laquelle les transporteurs aériens transfèrent des dossiers de données volumineux concernant tous les passagers aériens, sans exception, à des unités d’information passagers mises en place par les États membres, où les données sont utilisées sans motif particulier à des fins de recoupement automatisé avec des bases de données et des critères préétablis et sont ensuite conservées pendant cinq ans, est-elle compatible avec la Charte des droits fondamentaux de l’Union européenne, en particulier avec les articles 7, 8 et 52 de celle-ci, compte tenu de l’objectif poursuivi par cette directive et des exigences de précision et de proportionnalité ?
2. Notamment :
a) L’article 3, point 9, de la directive PNR, lu en combinaison avec l’annexe II de ladite directive, en ce qu’il précise que la notion de « formes graves de criminalité » au sens de la directive PNR désigne les infractions énumérées à l’annexe II de ladite directive et qui sont passibles d’une peine privative de liberté ou d’une mesure de sûreté d’une durée maximale d’au moins trois ans au titre du droit national d’un État membre, est-il compatible, du point de vue de la précision suffisante et de l’exigence de proportionnalité, avec les articles 7 et 8 de la charte ?
b) Les dossiers passagers à transférer (ci-après les « données PNR ») sont-ils définis de manière suffisamment précise pour pouvoir justifier une atteinte aux articles 7 et 8 de la charte dans la mesure où il est nécessaire de transmettre les noms (article 8, paragraphe 1, première phrase, lu en combinaison avec l’annexe I, point 4, de la directive PNR), les informations grands voyageurs (article 8, paragraphe 1, première phrase, lu en combinaison avec l’annexe I, point 8, de la directive PNR) et de remplir un champ libre avec des indications générales (article 8, paragraphe 1, première phrase, lu en combinaison avec l’annexe I, point 12, de la directive PNR) ?
c) Est-il compatible avec les articles 7 et 8 de la charte et avec l’objectif de la directive PNR, que soient également collectées, outre les données des passagers aériens, les données de tiers, tels que l’agence de voyages ou l’agent de voyage (annexe I, point 9, de la directive PNR), les personnes accompagnant des mineurs (annexe I, point 12, de la directive PNR) et les personnes voyageant avec le passager (annexe I, point 17, de la directive PNR) ?
d) La directive PNR est-elle compatible avec les articles 7, 8 et 24 de la charte en ce que des données PNR de voyageurs aériens mineurs sont transférées, traitées et stockées ?
e) L’article 8, paragraphe 2, de la directive PNR, lu en combinaison avec l’annexe I, point 18, de ladite directive, disposant que les transporteurs aériens transfèrent les données API aux autorités compétentes des États membres, même lorsque ces données sont identiques aux données PNR, est-il compatible avec les articles 8 et 52 de la charte ?
f) L’article 6, paragraphe 4, de la directive PNR constitue-t-il en tant que base juridique permettant de déterminer les critères de comparaison des données des dossiers (« critères préétablis ») un fondement légitime prévu par la loi suffisant au sens des articles 8, paragraphe 2, et 52 de la charte, ainsi que de l’article 16, paragraphe 2, TFUE ?
g) L’article 12 de la directive PNR limite-t-il encore l’atteinte à l’article 7 et à l’article 8 de la charte à ce qui est strictement nécessaire lorsque les données transférées sont conservées par les autorités compétentes des États membres pendant cinq ans ?
h) La dépersonnalisation prévue à l’article 12, paragraphe 2, de la directive PNR réduit-elle les données à caractère personnelles à ce qui est nécessaire au sens des articles 8 et 52 de la charte, lorsqu’il ne s’agit que d’une pseudonymisation réversible à tout moment ?
i) Convient-il d’interpréter les articles 7 et 8 et 47 de la charte en ce sens qu’ils requièrent que les passagers dont les données sont dé-dépersonnalisées dans le cadre du traitement des données des passagers aériens (article 12, paragraphe 3, de la directive PNR) en soient informés et que la possibilité d’un contrôle juridictionnel leur soit ainsi ouverte ?
3. L’article 11 de la directive PNR, en ce qu’il permet le transfert de données PNR vers des pays tiers qui ne disposent pas d’un niveau adéquat de protection des données, est-il compatible avec les articles 7 et 8 de la charte ?
4. L’article 6, paragraphe 4, quatrième phrase, de la directive PNR offre-t-il une protection suffisante contre le traitement de catégories particulières de données à caractère personnel, au sens de l’article 9 du règlement (UE) 2016/679 2 (ci-après le « règlement général sur la protection des données »), et de l’article 10 de la directive (UE) 2016/680 3 si, dans le champ libre « Remarques générales » (annexe I, point 12, de la directive PNR), il est possible de transmettre, par exemple, des souhaits alimentaires, permettant de tirer des conclusions sur de telles catégories particulières de données à caractère personnel ?
5. Est-il compatible avec l’article 13 du règlement général sur la protection des données que, sur leur site Internet, les transporteurs aériens renvoient les passagers uniquement à la loi nationale de transposition (en l’occurrence : la loi sur le traitement des données des dossiers passagers, Fluggasdatengesetz du 6 juin 2017, BGBl. I, p. 1484, ci-après le FlugDaG ») ?
____________
1 Directive (UE) 2016/681du Parlement européen et du Conseil, du 27 avril 2016, relative à l’utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi pour que les enquêtes et les poursuites en la matière (JO 2016, L 119, p. 132).
2 Règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (JO 2016, L 119, p. 1).
3 Directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89).