Transmission des données des passagers

Les compagnies aériennes ont pour obligation, de transmettre à l’ANDV les données de réservation des passagers (données PNR) au minimum 48h avant le départ du vol et le jour du départ. Il en va de même pour les données d’enregistrement et d’embarquement des passagers (données API), qui doivent être transmises au moment de la fermeture des portes.

Ceci est applicable pour tous les vols à destination et en provenance du territoire français, y compris les départements, régions et collectivités d'outre-mer, et ce, quelle que soit la nationalité de la compagnie et des passagers.

La transmission des données est effectuée de manière automatique par les compagnies aériennes, qui en gardent la responsabilité juridique, même en cas de sous-traitance de la gestion des données.

Information des passagers

Les compagnies aériennes ont également l’obligation d’informer les personnes dont les données sont traitées dans le système API-PNR. Il leur est demandé d’insérer la mention suivante dans les supports électroniques, interfaces et formulaires utilisés par leurs passagers :

L’ANDV vérifie régulièrement que les compagnies aériennes se conforment à cette obligation.

Pour rappel, en vertu de l’article L232-5 du code de la sécurité intérieure, est puni d'une amende d'un montant maximum de 50 000 euros pour chaque voyage le fait pour une entreprise de transport aérien, maritime ou ferroviaire de ne pas se soumettre à ces obligations.

Je souhaite obtenir une certification

Afin d’être connecté à l’environnement de production du système API-PNR France, authentifié par celui-ci, et de pouvoir lui transmettre les données de réservation, d’enregistrement et d’embarquement des passagers via des protocoles définis, les compagnies aériennes font au préalable l'objet d'une procédure de certification.

Cette procédure se déroule en 3 phases :

1. Phase 1 :

   Phase de mobilisation et notification

   Cette phase vise à mobiliser tous les acteurs amenés à intervenir lors de la certification, à établir un recensement des différentes routes aériennes qui s’inscrivent dans le champ d’application et à s'assurer des choix techniques pour la transmission des données. Ce travail est mené conjointement entre la compagnie aérienne, ses prestataires et l’administration française ou ses représentants. A l'issue de cette phase, la notification d'entrée en certification, qui prend la forme d’un courrier officiel d’information et d'engagement dans le processus de certification, est envoyé par le directeur de l’ANDV à la compagnie aérienne concernée.

2. Phase 2 :

   Phase de certification

   Cette phase a pour objectif de s’assurer de la capacité d'une compagnie aérienne ou de son prestataire technique en charge de la transmission des données à se connecter, à s’authentifier et à transmettre les éléments requis à l’environnement de certification du système API-PNR France, conformément aux différents protocoles sécurisés de transmission utilisés.

   La qualité des données et des messages reçus est contrôlée pour toutes les routes et escales desservies par la compagnie et déclarées à l’ANDV.

3. Phase 3 :

   Notification officielle d’entrée en production

   La notification officielle d’entrée en production pour le raccordement de la compagnie aérienne au système API-PNR se fait par le biais d’un courrier signé par le directeur de l’ANDV, une fois que les différents tests de certification sont validés par l'administration ou ses représentants. Y figurent notamment :

   • La date d’entrée en production décidée conjointement entre la compagnie aérienne, ses prestataires techniques et l’ANDV ;

   • La liste des routes concernées ;

   • Le rappel de l’obligation d’informer les passagers du traitement des données les concernant ;

   • La nécessité d’informer l’ANDV de toute route qui viendrait à être ouverte ou fermée par la compagnie, de même que le changement de fournisseurs de données.

   Ce document est accompagné de pièces jointes fixant précisément le périmètre de la mise en production.

   La notification officielle d’entrée en production marque aussi le début des obligations légales de la compagnie vis-à-vis de l'administration française, et donc la possibilité pour l’ANDV de mener d'éventuelles procédures de manquement à leur encontre, le cas échéant.

   En effet, les articles L.232-5, L.232-7, R.232-1-1 et R.232-5-1 du code de sécurité intérieure précisent qu’une amende de 50 000 euros est encourue par la compagnie aérienne pour chaque vol dont les envois de données API et PNR n’ont été effectués que partiellement, ou pas du tout.