Données passagers: la Suisse contrôlera tous les vols dès 2027
La nouvelle loi sur les données des passagers aériens crée un centre de vérification centralisé à fedpol. La plupart des données sont effacées après six mois – mais les profils de risque et la conservation des données de personnes non suspectes restent contestés.
Le Conseil fédéral a fixé la date du lancement : la loi sur les données des passagers aériens entre en vigueur le 1er novembre 2026 et, le 1er février 2027, la nouvelle Passenger Information Unit (PIU) entame son activité à l'Office fédéral de la police. La Suisse comparera ainsi systématiquement les données de réservation et de voyage des passagers de vols internationaux avec les données policières et de risque.
L'élément déterminant est le suivant : les voyageurs ne doivent fournir aucune indication supplémentaire lors de la réservation. Sont saisies les données que les compagnies aériennes et les agences de voyage enregistrent de toute façon. La nouveauté réside dans leur transmission à fedpol pour tous les vols de l'étranger vers la Suisse et de la Suisse vers l'étranger, et dans leur exploitation pour la lutte contre le terrorisme ainsi que contre les infractions graves énumérées par la loi.
Plus qu'un nom et un numéro de vol
Le jeu de données prévu par la loi est large. Il peut comprendre le nom, les coordonnées, le code de réservation, l'itinéraire, le mode de paiement, le siège, les bagages, les données de voyageur fréquent, l'agence de voyage et les personnes accompagnantes. Les compagnies aériennes transmettent les informations disponibles à deux reprises : entre 48 et 24 heures avant le départ prévu, puis immédiatement après la clôture de l'embarquement.
Selon fedpol, les données particulièrement sensibles telles que l'origine ethnique, les opinions politiques, la religion, la santé ou l'orientation sexuelle ne font pas partie du jeu de données PNR. L'autorité ne peut utiliser les données transmises que pour les infractions que la loi énumère expressément. Outre les infractions terroristes, il s'agit notamment de la traite des êtres humains, des infractions graves en matière de stupéfiants, du vol organisé, du blanchiment d'argent et de certaines formes de cybercriminalité.
Un algorithme ne fait pas encore un dossier de police
La PIU compare automatiquement les données avec les systèmes d'information policiers, les listes de surveillance et les profils de risque. Une correspondance technique ne peut toutefois pas être transmise à une autorité de police ou de poursuite pénale sans avoir été vérifiée. Les collaboratrices et collaborateurs de la PIU doivent contrôler manuellement chaque concordance et clarifier l'identité.
Les accès sont eux aussi échelonnés. Les autorités de police n'obtiennent aucun accès libre à l'ensemble de la base de données PNR. La PIU transmet les correspondances vérifiées ou effectue des recherches sur demande écrite et motivée. Les profils de risque peuvent contenir des combinaisons de données de voyage, mais ne doivent pas être taillés sur mesure pour une personne déterminée. Les listes de surveillance comportant des données personnelles exigent en revanche un lien direct avec une infraction citée dans la loi.
La nouvelle unité démarre plus modestement que l'ampleur de la tâche ne le laisse supposer. En 2027, elle commencera avec huit personnes et un mode d'exploitation restreint. Pour 2028, 14 postes sont prévus ; pour l'exploitation complète à partir de 2030, la Confédération table sur environ 30 postes à plein temps. Le déploiement se fait par étapes, en fonction des heures d'exploitation, du volume de données et du nombre de liaisons aériennes raccordées.
Le conflit sur la protection des données commence avec les personnes non suspectes
Le mécanisme de protection le plus fort réside dans les délais d'effacement. Les données non marquées sont automatiquement pseudonymisées après un mois et effacées après six mois. Les jeux de données marqués peuvent être conservés cinq ans au maximum. Quiconque veut réattribuer des informations pseudonymisées à une personne a en principe besoin de l'accord du Tribunal administratif fédéral. En cas d'urgence, la direction de fedpol peut décider à titre provisoire, mais doit obtenir l'autorisation par la suite.
Le législateur réagissait ainsi à des objections de droit fondamental. Le conflit n'est pas résolu pour autant : les données de personnes sans le moindre soupçon restent d'abord directement attribuables pendant un mois et conservées six mois en tout. La Commission des institutions politiques du Conseil national avait demandé de supprimer entièrement cette conservation préventive en l'absence d'indice de terrorisme ou de criminalité grave. Au Parlement, les propositions allant plus loin en matière de protection des données ne se sont toutefois pas imposées.
Le Préposé fédéral à la protection des données et à la transparence a examiné l'analyse d'impact relative à la protection des données et exigé des précisions. Il surveillera à l'avenir le traitement des données de la PIU. Les passagers doivent être informés de la transmission lors de la réservation et peuvent demander à fedpol des renseignements sur le traitement de leurs données.
La pratique dès février sera déterminante
La loi ne crée donc ni une base de données de passagers sans limites, ni une recherche purement ponctuelle de suspects déjà connus. Elle introduit un contrôle systématique de tous les voyages aériens internationaux, mais en limite l'usage par un catalogue d'infractions, un contrôle manuel, la pseudonymisation, des délais d'effacement et une surveillance.
Reste à savoir si ces garde-fous suffiront : cela n'apparaîtra qu'en phase d'exploitation. Déterminants ne sont pas seulement le nombre d'infractions graves détectées, mais aussi la fréquence des fausses correspondances, la qualité des profils de risque et la preuve que les données de personnes non suspectes disparaissent effectivement dans les délais.
Sources
- Conseil fédéral : entrée en vigueur de la loi sur les données des passagers aériens
- Assemblée fédérale : loi sur les données des passagers aériens du 21 mars 2025
- fedpol : page thématique sur la loi sur les données des passagers aériens
- DFJP : lutte contre le terrorisme et la criminalité grave au moyen des PNR
- Parlement : questions de protection des données et exigence contre la conservation préventive des données
- PFPDT : rapport d'activité 2024/2025
