L’UE va négocier avec les USA l’accès à des données sensibles pour l’exemption de visa

Mi-décembre, le Conseil des affaires générales (qui rassemble tous les ministres des Affaires européennes des États membres de l'UE) a autorisé « sans débat » la Commission européenne à entamer des négociations avec les États-Unis concernant un accord-cadre prévoyant le partage de données sensibles dans le cadre de leur programme « Visa Waiver ».

Celui-ci, mis en place en 1986, permet à des ressortissants de 42 pays (dont la France) de « voyager aux États-Unis pour affaires ou pour le tourisme pour des séjours d'une durée maximale de 90 jours sans visa ».

De nouvelles conditions introduites en 2022

Mais, sous Joe Biden en 2022, les États-Unis ont introduit une nouvelle condition pour qu'un pays puisse en bénéficier : la signature d'un « Partenariat renforcé pour la sécurité des frontières », PRSF (« Enhanced Border Security Partnership », EBSP) avec le département de la Sécurité intérieure des États-Unis.

Dans ce « partenariat », ce département exige, pour donner accès au programme « Visa Waiver » aux ressortissants d'un pays, d'avoir accès à des informations sur « les voyageurs qui se rendent aux États-Unis et sont susceptibles d’avoir un lien avec le pays partenaire du programme d’exemption de visa », mais aussi toute personne qui voudrait immigrer aux États-Unis ou avoir une protection humanitaire, et enfin « les personnes détectées par les services répressifs du ministère américain de la sécurité intérieure dans le cadre des contrôles frontaliers et de l’immigration aux États-Unis », explique la Commission européenne dans un document de recommandation publié en juillet 2025. Bref, les bases de données européennes pourraient être consultées lors d'une bonne partie des contrôles d'immigration.

Rappelons que, depuis le retour de Donald Trump au pouvoir, les services de l'immigration et des douanes états-uniens, l'ICE, ont massifié leur système de surveillance, scrutant les réseaux sociaux et mettant en place une reconnaissance biométrique sans échappatoire pour les contrôles d’identité dans les rues. Les services des douanes américains envisagent de conditionner l'entrée des candidats au programme « Visa Waiver » au partage, entre autres, de 5 ans d'historique de réseaux sociaux.

Un accès conditionné à des données à caractère personnel sur les opinions politiques, l'origine, les données biométriques et génétiques...

Toujours selon le document de la Commission, l'accord-cadre pourrait autoriser « le transfert de données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le transfert de données génétiques, de données biométriques aux fins de l’identification d’une personne physique de manière unique, et de données relatives à la santé et à la vie sexuelle ou à l’orientation sexuelle d’une personne [...] pour prévenir ou combattre les infractions pénales, dont le terrorisme, visées dans l’accord-cadre, et sous réserve de garanties appropriées parant aux risques propres au traitement des données ».

Le texte affirme que ce transfert devra se faire « lorsque cela est strictement nécessaire et proportionné ». L'administration Trump a montré, par exemple avec l'enlèvement récent de Nicolás Maduro ou ses menaces d'annexer le Groenland, qu'elle pouvait passer outre ce genre de considérations. Pourtant, les gouvernements européens ont donc tous, « sans débat », donné le feu vert à la Commission européenne pour négocier cet accord-cadre.

Selon un document de travail [PDF] de la présidence danoise du Conseil obtenu par le site Statewatch datant de quelques semaines avant l'autorisation donnée par le Conseil des affaires générales, l'accord-cadre doit couvrir « le contrôle et la vérification de l'identité des voyageurs nécessaires pour déterminer si leur entrée ou leur séjour présenterait un risque pour la sécurité publique ou l'ordre public ». Et les informations pourront être utilisées « pour lutter contre l'immigration irrégulière et pour prévenir, détecter et combattre les infractions graves et les infractions terroristes, à condition que ces efforts s'inscrivent dans le cadre de la gestion et du contrôle des frontières ».

Un cadre puis des négociations bilatérales pour le détail du type de données partagées

La Commission va donc négocier ce cadre et chaque pays devra ensuite engager des négociations en bilatéral avec Washington pour préciser quels types de données pourront être utilisés et quelles bases de données seront interrogeables. Mais selon un autre document obtenu par StateWatch [PDF], ces négociations doivent aller vite, puisque les États-Unis s'attendent à ce que ces « partenariats » soient mis en place au 31 décembre 2026.

Si le Conseil met en avant une unanimité des positions, une note diplomatique allemande datant du 1e décembre [PDF] obtenue par Euractiv indiquait qu'à ce moment-là « un État membre a posé une ligne rouge ». La diplomatie allemande indiquait ensuite « (probablement la France) ». Contacté dans la matinée par Next sur le sujet, le ministère de l'Europe et des Affaires étrangères n'a pour l'instant pas répondu à nos demandes de précisions sur le sujet.

En septembre, le Contrôleur européen de la protection des données (CEPD) a émis un avis sur le sujet [PDF], affirmant que cet accord-cadre « créerait un précédent important, car il s'agirait du premier accord conclu par l'UE impliquant un partage à grande échelle de données à caractère personnel, y compris de données biométriques, à des fins de contrôle des frontières et de l'immigration par un pays tiers ». Il estimait « nécessaire de procéder à une analyse approfondie de l'impact sur les droits fondamentaux de l'accord-cadre proposé et des partenariats renforcés avec les États-Unis en matière de sécurité aux frontières ».

Dans son document de préparation, la Commission européenne précise que le Danemark et l'Irlande ne sont pas concernés par le texte (le premier en référence à sa position sur le fonctionnement de l'Union européenne, le deuxième car il ne fait pas partie de l'espace Schengen).