Rapport sur les résultats

• Respect des normes techniques existantes et concertation avec le secteur de l'aviation Pour PLR, AEROSUISSE, ASA, economiesuisse, FST, SWISS et Zurich Aéroport, il est

crucial que la Suisse se base sur les normes techniques existantes afin que les données requises puissent être générées sans trop de moyens supplémentaires par les systèmes déjà en service dans les entreprises de transport aérien et mises à la disposition des autorités. Les participants souhaitent que les modalités de collecte et de traitement des données définies au niveau de l'ordonnance soient élaborées en étroite collaboration avec les acteurs concernés du secteur de l'aviation et s'opposent à des charges disproportionnées qui aillent au-delà des normes internationales. Il faut éviter de créer de potentiels obstacles supplémentaires qui entravent la compétitivité de la Suisse dans le transport international de voyageurs.

Il n'est pas encore possible d'estimer les conséquences sur les entreprises de transport aérien avec pleine satisfaction. De même, la définition du devoir de diligence et des sanctions en cas de violation des obligations des entreprises de transport aérien n'est pas assez précise (ASA).

• Protection des données

Pour différents participants, l'AP-LDPa garantit dans l'ensemble la protection des données et des droits de la personnalité des passagers: seul le personnel de l'UIP est autorisé à accéder aux données relatives aux passagers aériens pour accomplir ses tâches. Dans le même temps, la protection des membres de l'équipage est renforcée et une compatibilité avec l'étranger, dont l'UE, est établie (USS). Le fait que la collecte et l'utilisation des données PNR soient réglées de sorte à satisfaire aux exigences de la directive PNR en matière de protection et de traitement des données est accueilli favorablement (BL). Les participants se félicitent également que le projet mis en consultation se base sur la nouvelle législation sur la protection des données. Le traitement des données est autorisé uniquement à des fins légales et, en cas de concordances obtenues après la comparaison automatique, il est obligatoire de vérifier manuellement la plausibilité de ces dernières. Ce procédé garantit une protection suffisante des données des voyageurs (Le Centre). PLR salue l'obligation d'informer incombant aux entreprises de transport aérien, qui doivent expliquer aux passagers que leurs données PNR seront collectées et traitées, ce qui contribue considérablement à protéger les droits de la personnalité. Néanmoins, l'UIP et les autorités de poursuite pénale doivent obligatoirement se fonder sur les principes de minimisation des données et de limitation de la conservation.

Les participants soulèvent la question d'un organisme indépendant de surveillance de l'activité de l'UIP dans le domaine du droit de la protection des données (Préposé fédéral à la protection des données et à la transparence [PFPDT] ou préposé cantonal à la protection des données), qui n'est réglée ni dans le projet mis en consultation, ni dans le rapport explicatif. Selon SH, la surveillance interne assumée en intégralité par le service de protection des données de fedpol est jugée insuffisante, car fedpol mène elle-même des enquêtes de police. Compte tenu de la quantité importante de données et des abus potentiels, il est approprié de fournir des instructions sur la sécurité des données déjà à l'étape du rapport explicatif (BE).

• Conservation des données

Les participants trouvent que la durée de conservation des données fixée à cinq ans (sous forme pseudonymisée en vertu de l'art. 16, al. 1) est relativement longue. Pour éviter tout reproche sur une conservation disproportionnée de données et toute contradiction avec la jurisprudence européenne, la durée de conservation des données devrait être adaptée à celle mentionnée dans l'arrêt rendu récemment par la Cour de justice de l'Union européenne (CJUE) et le droit d'accès prévu à l'art. 18, al. 1, en relation avec les art. 25 à 28 de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD)³ devrait être maintenu (PLR).