Bruxelles conclut un accord sur les données PNR entre l'UE et la Suisse pour lutter contre le terrorisme

Le Conseil de l’Union européenne a conclu, le 1er octobre 2026, l’accord avec la Confédération suisse sur le transfert des données du registre des noms des passagers (PNR) pour la prévention, la détection, l’enquête et la poursuite des infractions terroristes et de la criminalité grave, après que le Parlement européen a donné son consentement le 16 septembre 2026. L’approbation est formalisée dans la Décision du Conseil (UE) 2026/2360, tandis que le texte complet du traité est publié sous la référence 2026/2361. Les deux apparaissent dans le Journal officiel de l’Union européenne, série L, du 26 octobre 2026.

L’accord avait été signé le 5 mars 2026 en vertu de la Décision du Conseil (UE) 2026/643 du 23 février 2026, sous réserve d’une conclusion ultérieure. Le Conseil a agi sur la base de l’article 16, paragraphe 2, et de l’article 87, paragraphe 2, point a), du traité sur le fonctionnement de l’Union européenne, lus conjointement avec l’article 218, paragraphe 6, deuxième sous-paragraphe, point a). Le Contrôleur européen de la protection des données a été consulté en vertu du règlement (UE) 2018/1725 et a rendu son avis le 19 décembre 2025.

Un canal d’envoi unique (« push-only ») pour les compagnies aériennes

Le traité oblige la Suisse à garantir que les transporteurs aériens transmettent les données PNR à l’Unité suisse d’information sur les passagers exclusivement par la « méthode push », alimentant directement la base de données de l’autorité requérante plutôt que de lui permettre d’extraire (« pull ») les données des systèmes des compagnies aériennes. Les transporteurs peuvent transférer les données de manière programmée au plus tôt 48 heures avant le départ prévu, et un maximum de cinq fois pour un vol spécifique, limité aux mises à jour si la Suisse le permet.

Le champ d’application couvre les transporteurs aériens exploitant des vols passagers entre l’Union et la Suisse, ainsi que les transporteurs constitués, ou stockant des données, dans l’Union et volant vers ou depuis la Suisse. La Suisse ne peut exiger des éléments de données que les transporteurs ne détiennent pas déjà à des fins de réservation, et doit supprimer dès réception tout élément non mentionné dans l’annexe, laquelle énumère exhaustivement 19 catégories :

• Localisateur d’enregistrement PNR, date de réservation ou d’émission du billet, et dates de voyage prévues
• Noms des passagers, adresse, coordonnées téléphoniques et électroniques
• Informations de paiement et de facturation du billet, et itinéraire de voyage complet
• Statut et numéro de voyageur fréquent, données de l’agence de voyages, et informations sur le siège et les bagages
• Statut du voyage, données PNR fractionnées, informations de partage de code et détails sur les mineurs non accompagnés
• Toutes les informations préalables sur les passagers déjà collectées, ainsi que tous les changements historiques apportés au dossier

Les parties peuvent également convenir que la Suisse utilise le routeur API-PNR mis en place en vertu du Règlement (UE) 2025/13 ; si l’Union modifie ce règlement, la Suisse dispose de 120 jours pour notifier son intention de cesser d’utiliser le routeur.

Cinq ans de stockage, six mois avant anonymisation

Les données PNR peuvent être traitées strictement pour prévenir, détecter, enquêter et poursuivre les infractions terroristes ou la criminalité grave, définie comme les infractions punissables d’au moins trois ans de privation de liberté selon le droit suisse et présentant un lien objectif avec le transport aérien. La durée de conservation est limitée à cinq ans, et l’UPI suisse doit dépersonnaliser les dossiers au plus tard six mois après leur réception en masquant les noms, les coordonnées, les informations de paiement, les données de fidélité et les remarques en texte libre.

Le traitement des données révélant l’origine raciale ou ethnique, les opinions politiques, la religion ou les convictions philosophiques, l’appartenance syndicale, la santé, la vie sexuelle ou l’orientation sexuelle est interdit, et ces données doivent être supprimées immédiatement. Les correspondances positives issues de critères prédéterminés doivent être examinées individuellement par des moyens non automatisés, et la communication aux autorités suisses nécessite l’approbation d’un organe judiciaire ou autre organe indépendant, sauf en cas d’urgence dûment justifiée.

Europol, Eurojust et la lacune Schengen

L’accord est conçu pour favoriser la coopération policière et judiciaire entre les autorités suisses, celles des États membres, Europol et Eurojust, avec l’objectif déclaré d’assurer la sécurité intérieure en l’absence de contrôles aux frontières internes dans l’espace Schengen. L’UPI suisse et les UPI des États membres doivent partager les données PNR, les résultats du traitement et les informations analytiques dès que possible lorsque cela est nécessaire, de leur propre initiative ou sur demande.

La communication à des pays tiers à l’Union et à la Suisse est conditionnée au fait que ce pays ait conclu un accord avec l’Union ou bénéficie d’une décision d’adéquation de la Commission européenne, ainsi qu’à l’approbation préalable d’un organe judiciaire ou indépendant. La Suisse doit appliquer les mêmes droits et obligations que ceux de la Directive (UE) 2016/680, sous la surveillance d’une autorité de contrôle indépendante, et doit publier sur son site internet la législation autorisant les transferts, les motifs de la collecte et le point de contact pour les demandes de renseignements.

Entrée en vigueur et réversibilité

En vertu de l’article 19, l’accord entre en vigueur le premier jour du mois suivant la plus tardive des deux notifications suivantes : la notification par la Suisse de ses autorités désignées, ou la confirmation par les parties que leurs procédures internes sont achevées. Chaque partie peut suspendre l’application avec un préavis de deux mois après consultation, ou y mettre fin avec un préavis de trois mois, et la Suisse doit continuer d’appliquer les conditions aux données reçues préalablement.

L’Irlande a notifié son souhait de participer par lettre du 9 février 2026 en vertu du protocole n° 21 ; le Danemark n’est pas lié par la décision en vertu du protocole n° 22. La déclaration commune jointe au traité rappelle que la loi suisse sur les données des passagers aériens du 21 mars 2025 constitue la base nationale des transferts effectués par les transporteurs suisses.

La décision a une importance qui dépasse Bruxelles et Berne : elle offre aux compagnies aériennes européennes un canal juridique unique pour la transmission des données PNR sur les liaisons suisses, tout en fixant le délai de conservation, l’échéance d’anonymisation et le filtre judiciaire auxquels les voyageurs et les autorités de protection des données peuvent tenir la Suisse. Étant donné que le traité est révocable avec un court préavis et soumis à une évaluation conjointe, son poids pratique dépendra de la manière dont l’UPI suisse appliquera les critères et de la rigueur avec laquelle le superviseur indépendant les contrôlera.

Source : Journal officiel de l’Union européenne, série L, 26 octobre 2026, 2026/2360 et 2026/2361 (référence officielle : Décision du Conseil (UE) 2026/2360 ; Accord 2026/2361).