Affaires jointes C-317/04 et C-318/04

Parlement européen

contre

Conseil de l'Union européenne       et      Commission des Communautés européennes

«Protection des personnes physiques à l'égard du traitement des données à caractère personnel — Transport aérien — Décision 2004/496/CE — Accord entre la Communauté européenne et les États-Unis d'Amérique — Dossiers des passagers aériens transférés au Bureau des douanes et de la protection des frontières des États-Unis d'Amérique — Directive 95/46/CE — Article 25 — États tiers — Décision 2004/535/CE — Niveau de protection adéquat»

Sommaire de l'arrêt

1.        Rapprochement des législations — Directive 95/46 — Champ d'application

(Directive du Parlement européen et du Conseil 95/46, art. 3, § 2; décision de la Commission 2004/535)

2.        Accords internationaux — Conclusion — Accord CEE-États-Unis concernant le traitement et le transfert des dossiers des passagers aériens au Bureau des douanes et de la protection des frontières des États-Unis

(Art. 95 CE; directive du Parlement européen et du Conseil 95/46, art. 3, § 2, et 25; décision du Conseil 2004/496)

1.        La décision 2004/535, relative au niveau de protection adéquat des données à caractère personnel contenues dans les dossiers des passagers aériens transférés au Bureau des douanes et de la protection des frontières des États-Unis d'Amérique, concerne un traitement de données à caractère personnel ayant pour objet la sécurité publique et les activités de l'État relatives à des domaines du droit pénal, lequel est exclu du champ d'application de la directive 95/46, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, en vertu de l'article 3, paragraphe 2, premier tiret, de ladite directive.

À cet égard, le fait que les données personnelles sont collectées par des opérateurs privés à des fins commerciales et que ce sont ces derniers qui organisent leur transfert vers un État tiers ne modifie pas une telle conclusion, dans la mesure où ce transfert s'insère dans un cadre institué par les pouvoirs publics et visant la sécurité publique et où il n'est pas nécessaire à la prestation de services desdits opérateurs.

(cf. points 56-59)

2.        La décision 2004/496, concernant la conclusion d'un accord entre la Communauté européenne et les États-Unis d'Amérique sur le traitement et le transfert de données PNR (Passenger Name Records) par des transporteurs aériens au bureau des douanes et de la protection des frontières du ministère américain de la sécurité intérieure, n'a pu être valablement adoptée sur le fondement de l'article 95 CE, lu en combinaison avec l'article 25 de la directive 95/46, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.

En effet, l'accord vise des traitements de données qui, dans la mesure où ils ont pour objet la sécurité publique et les activités de l'État relatives à des domaines du droit pénal, sont exclus du champ d'application de la directive 95/46 en vertu de l'article 3, paragraphe 2, premier tiret, de cette dernière.

(cf. points 67-69)