FICHE D IMPACT PROJET DE TEXTE REGLEMENTAIRE

FICHE D IMPACT PROJET DE TEXTE REGLEMENTAIRE NOR : INTD1412885D Intitulé du texte : Décret portant création d un traitement de données à caractère personnel dénommé «système API-PNR France» pris pour l application de l article L.232-7 du code de sécurité intérieure et fixant les modalités de transmission au service à compétence nationale «Unité Information Passagers» des données relatives aux passagers par les transporteurs aériens. Ministères à l origine de la mesure : Le ministère des finances et des comptes publics, le ministre de la défense, le ministre de l intérieur, le ministre des outre-mer, le secrétaire d Etat chargé des transports, de la mer et de la pêche auprès du ministre de l écologie, du développement durable et de l énergie. Date d établissement de la présente fiche (le cas échéant, date de sa dernière modification) : 28 juillet 2014 1

I. PRESENTATION GENERALE DU TEXTE Titre Décret portant création d un traitement de données à caractère personnel dénommé «système API-PNR France» pris pour l application de l article L.232-7 du code de sécurité intérieure et fixant les modalités de transmission au service à compétence nationale «Unité Information Passagers» des données relatives aux passagers par les transporteurs aériens». Objectifs En application de l article L.232-7 du code de la sécurité intérieure, les transporteurs aériens sont tenus de recueillir et de transmettre au service à compétence nationale dénommé «Unité Information Passagers», les données de réservation (données API) et d enregistrement (données PNR) relatives aux vols à destination et en provenance du territoire national, à l exception des vols reliant deux points de la France métropolitaine. Un décret en Conseil d Etat, pris après avis de la commission nationale de l informatique et libertés est requis pour d une part définir les finalités de ce traitement de données à caractère personnel, les modalités de la transmission et de la collecte des données API et PNR, de leur exploitation et de leur durée de conservation, d autre part il définit les catégories de personnes ayant accès aux données, celles qui peuvent en être légalement destinataires et précise les modalités d habilitation de ces personnes. Le décret indique en outre les modalités de traçabilité des accès et traite du droit d accès aux données, du droit d opposition et du droit d information. L article 2 du décret crée un article R.232-1-1 dans la section 1 du chapitre II du titre III du livre II de la partie réglementaire du code de la sécurité intérieure. Les données de réservation dont la liste est fixée par le décret au I a) de l article R232-14 doivent être transmises par les transporteurs aériens une première fois 48 heures avant le départ du vol et une seconde fois à la clôture du vol par envoi électronique sécurisé à «l Unité Information Passagers». Les données d enregistrement dont la liste est fixée par le décret au I b) de l article R.232-14 sont transmises par les transporteurs aériens à la clôture vol par envoie électronique sécurisé à «l Unité Information Passagers». Les données de réservation et d enregistrement sont transmises soit dans l un des formats prévus à l annexe 9 de la convention de Chicago, soit par tout autre mode de transfert agréé par «l Unité Information Passagers». Ce choix de normes de transmission permet de faciliter techniquement le respect des obligations mises à la charge des transporteurs aériens en tenant compte de leur niveau d informatisation. Un processus de certification des compagnies aériennes et des fournisseurs de données est mis en place par l UIP. Enfin, après l article R.235-5, il est créé un article R.232-5-1 qui prévoit qu en cas de méconnaissance par un transporteur aérien des obligations fixées à l article R.232-1-1, l amende et la procédure prévues à l article L.232-5 s appliquent à son égard. La procédure et la notification de l amende relève de la responsabilité du directeur de l UIP ou de son adjoint. Contraintes nouvelles Allégements et simplifications 2

Il est institué une obligation nouvelle pour les compagnies aériennes en leur imposant la transmission des données API et PNR. des passagers et des membres d'équipage transportés. Les compagnies ont obligation de transmettre les données de réservation 48h avant le départ du vol et à la clôture du vol. Les données d'enregistrement sont à transmettre à la clôture du vol. Il convient de rappeler que d une part les compagnies aériennes ne transmettent que les données qu'elles collectent pour leur propre compte en application de l annexe 9 de la convention de Chicago, d autre part que le système «API PNR France» s'appuie sur des formats standardisés d'envoi de données, normalisés de manière conjointe par IATA (Association internationale du transport aérien), l OMD (Organisation internationale des Douanes) et l OACI (Organisation de l Aviation Civile Internationale). Par ailleurs, il est important de noter que les compagnies aériennes peuvent s'appuyer sur des fournisseurs techniques de données (systèmes de réservation tel qu'amadeus ou de contrôle des départs tel qu'altea, Sita DCS (Système de contrôle des départs), etc. Enfin, la montée en charge très progressive envisagée par l UIP s appuiera sur la certification des compagnies aériennes et des fournisseurs de données, qui transmettent d'ores et déjà ces données à d'autres Etats à travers le monde. Cette situation est de nature à réduire considérablement l'impact pour un grand nombre de compagnies aériennes rompues à l exercice. Stabilité dans le temps Joindre le texte consolidé, avec modifications apparentes Texte modifié : Après l article R.232-1 du code de sécurité intérieure, est créé par l article 2 du décret portant création d un traitement à caractère personnel dénommé «Unité Information Passager», un article R.232-1-1 qui fixe les modalités de transmission des données PNR et API par les transporteurs aériens. Par ailleurs, après l article R.232-5, il est crée un article R.232-5-1 qui fixe les règles en cas de méconnaissance par un transporteur aérien des obligations fixées à l article R.232-1-1. L amende et la procédure prévues par l article L232-5 s appliquent. Les conditions d application outre-mer sont mentionnées à l article 4 du projet de décret sachant que l article L 232-7 du code de sécurité intérieure a été créé par la loi de programmation militaire du 18 décembre 2013. Cet article a été rendu applicable sur l ensemble du territoire français d la République (cf. article 57 de la loi de programmation militaire). Fondement juridique 3

Dispositions nouvelles Articles R.232-12 à R.232-18 du code de la sécurité intérieure Article R.232-1-1 du code la sécurité intérieure. Article R.232-5-1 du code la sécurité intérieure. Pour l outre-mer cf les articles 3 et 4 du projet de décret. Articles Transposition d une directive / application d un règlement UE préciser Application de la loi préciser Article L.232-7 du code de sécurité intérieure Article L232-7 du code sécurité intérieure Article L232-7 du code sécurité intérieure Conséquen ce d une décision de justice préciser Mesure non commandée par la norme supérieure préciser : simplification, retour d expérience II. CONCERTATION PREALABLE ET CONSULTATIONS Organisme Date Avis exprimés et prise en compte par le projet Concertation avec les collectivités territoriales et les associations d élus Concertation avec les entreprises et organisations professionnelles représentatives Compagnies aériennes concernées et fournisseurs de données Depuis septembre 2013 Juillet 2014 - Présentations aux organisations représentatives (IATA, FNAM ( Fédération nationale de l Aviation civile Marchande), SCARA ( syndicat des compagnies aériennes indépendantes),bar France ( Board of Representative),EELFA ( European Low Fares Airline Association). - Mise en place d'une coopération opérationnelle avec des compagnies pilote : Air France/Amadeus, Delta/Deltamatic, Etihad/Sabre, Europe Airpost/Delan/HP et Sita DCS, afin de valider les options techniques de manière à réduire les coûts pour les transporteurs aériens. IATA/OMD/OA CI - Publication de directives (guidelines) décrivant de manière opérationnelle et technique les conditions de transmission des messages contenant les données API et PNR à l UIP. 4

Les exigences françaises vis-à-vis des transporteurs intègrent pleinement les travaux de normalisation de ces organisations internationale auxquelles participe l industrie aérienne. Ceci constitue un facteur essentiel de communication avec le monde aérien en prenant en compte ses propres demandes et par conséquent facilite la mise en conformité par ces compagnies aériennes aux obligations qui leur incombent. Commissions consultatives Autres (services, autorités indépendantes ) La Commission nationale de l informatique et des libertés a été saisie le 19 mai 2014. Fondement Consultations ouvertes sur internet Préciser le fondement juridique Notifications à la Commission européenne Fondement Impacts et complexité du texte pour les PME Test PME Joindre la grille de critères d éligibilité et la fiche de restitution du test PME Non applicable Justifier de la réalisation ou non-réalisation d un test PME Non applicable III. EVALUATION DES IMPACTS FINANCIERS DU PROJET DE TEXTE Un manuel et un tableur sous format Excel d aide au calcul des impacts financiers de la réglementation sont mis à votre disposition sur le site extraqual (http://extraqual.pm.ader.gouv.fr/simplification) pour faciliter le renseignement des rubriques cidessous. Joindre le tableur à la fiche d impact. Impacts financiers globaux Particuliers Entreprises Collectivités territoriales et EPL Etat UE Total 5M 4M Secteurs d activité et Par catégorie, nombre d entreprises concernées 5

caractéristiques des entreprises concernées TPE PME ETI Grandes entreprises Total Compagnies aériennes (compagnies traditionnelles, lowcost et Charters) 230* Les propriétaires des systèmes informatiques de contrôle des départs DCS, tels que Amadeus, SITA DCS,HP, etc. Certains DCS appartiennent à des compagnies, d'autres sont la propriété d'intermédiaires techniques 50* Les propriétaires des système de réservation et de diffusion GDS tels que Amadeus, Sabre, Gallileo, Navitair etc. 20* Nombre total d entreprises concernées 300* (*) Remarque : il est très difficile de chiffrer le nombre d'intermédiaires dans la mesure où de nombreux accords commerciaux lient en réalité les compagnies et les fournisseurs de données dans chaque escale. Par ailleurs le poids des fournisseurs de données est très variable. Détails des impacts sur les entreprises : Il est impossible de répondre à cette question. Pour des raisons de confidentialité, les entreprises concernées ne fournissent pas les chiffres nécessaires pour connaître l impact financier des exigences faites aux transporteurs telles que mentionnées à l article R.232-1-1 du code de sécurité intérieure. Produits (chiffre d affaire, subvention ) Investissement Fonctionnement Total ETP Détails des impacts sur les particuliers (sans objet) Revenus perçus Investissement Fonctionnement Total Nombre de personnes concernées Répartition des impacts entre collectivités territoriales (sans objet) Communes et EPCI Départements Régions Total 6

Détails des impacts sur les collectivités territoriales (sans objet) Dépenses d intervention Investissement Fonctionnement Total ETP Répartition des impacts entre les administrations (hors collectivités locales) Les coûts pour les administrations participant au projet, pour les trois prochaines années sont difficilement évaluables compte tenu de la montée en charge progressive du système «API- PNR France» et de l importance de la subvention européenne accordée pour les années 2014 et 2015. Les gains sont encore plus difficilement identifiables dans la mesure où le système vise à automatiser des procédures aujourd hui en grande partie manuelle. L efficacité des services dans la lutte contre le terrorisme et les formes graves de criminalité ainsi que dans la protection des intérêts fondamentaux de la Nation devraient être très sensiblement améliorée mais il n est pas possible de la quantifier à ce stade. Administrations centrales Services déconcentrés Total Etat Autres organismes administratifs Détail des impacts sur les administrations (hors collectivités locales) Dépenses d intervention, prestations versées Investissement Fonctionnement Total ETP Répartition des impacts totaux dans le temps (tous acteurs) Année 1 Année 2 Année 3 Année 4 (si cette précision est jugée nécessaire) Année 5 (si cette précision est jugée nécessaire) 7

Répartition des impacts dans le temps sur les collectivités locales Année 1 Année 2 Année 3 Année 4 (si cette précision est jugée nécessaire) Année 5 (si cette précision est jugée nécessaire) IV. APPLICATION DU MORATOIRE DE LA REGLEMENTATION Conformément à la circulaire du Premier ministre du 17 juillet 2013, le moratoire de la réglementation ou «1 pour 1» s applique aux textes réglementaires (projets d ordonnances, de décrets et d arrêtés) soumis à étude d impact, créant des charges nouvelles pour les collectivités territoriales, les entreprises et le public. Celui-ci ne concerne néanmoins que les mesures non commandées par la norme supérieure, à l exclusion des mesures de transposition d une directive, d application d un règlement communautaire ou d application de la loi. Une fiche technique décrivant les modalités de mise en œuvre du moratoire est mise à votre disposition sur le site extraqual (http://extraqual.pm.ader.gouv.fr/simplification). Bilan des impacts pour le moratoire Pour mémoire : Mesures de transposition Pour mémoire : Mesures d'application de la loi Application du moratoire : Mesures non commandées par la règle supérieure Mesures de simplification adoptées pour le moratoire «1 texte créé, 1 texte simplifié» Justifier ici de la compensation du projet de texte créant des charges nouvelles par une simplification ou un allégement de charges. Préciser le titre du texte et son NOR s il s agit d un texte distinct. Joindre le projet de texte de simplification et son étude d impact. Mesures de simplification ou d allégement Destinataires 8

Justification des mesures V. EVALUATION QUALITATIVE DES IMPACTS Description des impacts Contraintes nouvelles Allègements et simplifications Impacts sur les entreprises, notamment les PME et TPE Il est institué une obligation nouvelle pour les compagnies aériennes en leur imposant la transmission des données API et PNR. des passagers et des membres d'équipage transportés. Les compagnies ont obligation de transmettre les données de réservation 48h avant le départ du vol et à la clôture du vol. Les données d'enregistrement sont à transmettre à la clôture du vol Il convient de rappeler que d une part les compagnies aériennes ne transmettent que les données qu'elles collectent pour leur propre compte en application de l annexe 9 de la convention de Chicago, d autre part que le système API PNR France s'appuie sur des formats standardisés d'envoi de données, normalisés de manière conjointe par IATA (Association internationale du des Transporteurs Aériens), l OMD (Organisation internationale des Douanes) et l OACI (Organisation de l Aviation Civile Internationale). Par ailleurs, il est important de noter que les compagnies aériennes peuvent s'appuyer sur des fournisseurs techniques de données (systèmes de réservation tel qu'amadeus ou de contrôle des départs tel qu'altea, Sita DCS ( Système de contrôle des départs), etc. Enfin, la montée en charge très progressive envisagée par l UIP s appuiera sur la certification des compagnies aériennes et des fournisseurs de données. Ces derniers transmettent d'ores et déjà ces données à un nombre important Etats à travers le monde. Cette situation est de nature à réduire 9

considérablement l'impact pour un grand nombre de compagnies aériennes rompues à l exercice.. Impacts sur la compétitivité et l innovation Impacts sur la production Impacts sur le commerce et l artisanat Impacts sur les clients ou usagers des entreprises et administrations concernées En permettant notamment une lutte plus efficace contre le terrorisme, le système devrait contribuer à une plus grande sécurité u monde aérien. Impacts sur le public, notamment les publics défavorisés Impacts sur la société (santé, sécurité, cohésion sociale, parité, éducation, environnement) Impacts sur les collectivités territoriales, notamment les petites collectivités Impacts sur les services chargés de l application et du contrôle Administrations centrales Services déconcentrés Création d'un SCN dit «UIP» mutualisant les ressources des administrations concernées. Cette nouvelle structure sera un facteur de création de synergies interministérielles et un gage d'une plus grande efficacité des services habilités à lutter contre le terrorisme, le crime grave et les atteintes aux intérêts fondamentaux de la Nation. L automatisation des procédures de recherche et d identification de 10

Autres organismes administratifs terroristes et de criminels ou de personnes recherchées alors qu actuellement elles sont en en grande partie manuelle, va améliorer sensiblement l efficacité des actions des services et unités concernés. VI. NECESSITE ET PROPORTIONNALITE Marge de manœuvre offerte par la règle supérieure (options, seuils, délais, etc.). Si oui, justifier le choix effectué Justification des choix retenus En cas de transposition de directive, joindre le tableau de concordance Article L.232-7 du code de sécurité intérieure. Les formats de transmission des données des passagers par les compagnies aériennes sont fixés par décret en conseil d Etat. Alternatives à la réglementation Renvoi à des dispositifs volontaires, instruments incitatifs Comparaison internationale Mesures équivalentes dans d autres Etats membres de l Union Européenne non - Collecte et exploitation des données API dans la quasi-totalité des Etats membres de l Union européenne. - Collecte des données PNR en Grande Bretagne depuis 2010 par le national border and control center (NBTC) Au plan européen également, 14 Etats membres ont engagé une étude ou un programme de création d'un système PNR dans le cadre des subventions accordées par la Commission européenne sur fonds ISEC en 2013. Actuellement au niveau international : - Systèmes équivalents mis en place notamment aux Etats Unis (CBP), au Canada (CBSA) et en Australie. - 43 pays ont mis en place un système de collecte des données API et 48 mènent un projet en ce sens. - 9 pays ont mis en place un système de collecte des données PNR et 33 mènent un projet en ce sens. Mesures d adaptation prévues pour certains publics (PME et TPE, petites collectivités, publics Proportionnalité La mise en œuvre sera progressive et accompagnée par l Unité Information Passagers à travers un processus de certification des compagnies aériennes et des fournisseurs de données. 11

défavorisés). Nécessité de mesures réglementaires ou individuelles d application Si oui, justifier les marges d appréciation laissées pour la mise en œuvre Adaptation dans le temps Délais d entrée en vigueur (dates communes ou différés) NON Quatre mois pour que les transporteurs aériens se conforment à leurs obligations à compter de la publication du décret et au plus tard le 1 er janvier 2015 Mesures d accompagnement - Travaux de spécification techniques réalisés par la mission interministérielle PNR avec le concours de 4 compagnies aériennes pilotes (Air France, Etihad, Europe Airpost, Delta) ainsi que leurs fournisseurs de données. Expérimentations - Engagement progressif des compagnies.cet engagement commence par une phase dite «pilote aérien». Il prévoit un raccordement de 30 compagnies fin de 2015, puis la montée charge sera progressive sur la base d'une programme publié en juillet 2014 - Accompagnement des compagnies lors de la phase dite de «certification» par des outils d'aide à la certification, la publication des lignes directrices et le soutien de la Mission PNR. Information des destinataires (guides pratiques, brochures, sites internet ) - publications de guidelines à l été 2014 sur un site internet étatique et sur le site de IATA. - Notification aux 26 compagnies aériennes choisies à l automne 2014 Accompagnement des administrations (formations, FAQ, ) Obligations déclaratives (formulaires homologués, télédéclarations, test de redondance ) Evaluations ex-post Si oui, préciser l échéance - programme de formation des agents de l UIP et des services habilités à exploiter les données des passagers en 2015. - convention signée entre l UI et la compagnie aérienne y compris les annexes (routes, partenaires et prestataires techniques, informations techniques) permettant pour chaque compagnie de s'inscrire dans une montée en charge progressive des routes aériennes raccordées au système. VII. PRECISIONS METHODOLOGIQUES : Peut on répondre? Veuillez utiliser cet espace pour expliquer la méthodologie que vous avez retenue pour estimer des coûts et 12

économies figurant dans cette fiche d impact. Il s agit d une exigence essentielle, notamment pour la commission consultative d évaluation des normes (CCEN) qui souhaite disposer de précisions méthodologiques sur le calcul des coûts et économies pour les collectivités territoriales induits par les nouvelles règlementations qui figurent dans le présent document (conformément à l article R. 1213-3 du code général des collectivités territoriales). Cette exigence s applique également lorsque les montants inscrits sont nuls (en application de l article L.1211-4-2 du même code). Veuillez également justifier vos choix méthodologiques et préciser la marge d'erreur ainsi que les incertitudes présentes dans vos calculs. Enfin, veuillez joindre le tableur Excel grâce auquel les estimations des coûts et économies figurant dans cette fiche d impact ont été calculées. Le coût initial de création du système informatique a été évalué à partir d'une étude de faisabilité élaborée par la mission interministérielle PNR et une société de conseil (CGI). Cette évaluation a permis d'analyser les différentes offres des sociétés candidates au marché de conception et de réalisation du système «API PNR France» ainsi que leur modèle économique. C est sur cette base que le montant de la subvention européenne a été calculé pour les années 2014 et 2015. Les coûts de fonctionnement de l'uip ont été évalués à partir de la projection en ETP et en charges pour l'uip. Ils devraient s élever à 4 millions d euros par an (y compris les traitements des agents), à partir de 2017. Les coûts pour les compagnies aériennes ont également été évalués à partir de rapports, de questionnaires et d'échanges avec les compagnies aériennes, d'autres Etats disposant d'une programme similaire ainsi que des organisations internationales (IATA,OMD) et de la Commission européenne. Les gains par les services des ministères concernés sont difficilement quantifiables à ce jour mais le système «API-PNR France» qui permet d automatiser des opérations aujourd hui largement manuelles, devrait accroitre considérablement l efficacité des services en charge de la lutte contre le terrorisme et les formes graves de criminalité. 13

VII. ANNEXE Dispositions en vigueur Aucune Projet Nouvelle section IV de la partie réglementaire du chapitre II du titre III du livre II du code de sécurité intérieure Simplification(s) ou obligations(s) nouvelle(s) identifiée(s) Il s agit d obligations nouvelles faites aux transporteurs aériens avec des possibilités diversifiées de formats de transmission des données des passagers. 14