PNR : Des millions de données personnelles en libre service

Les données des dossiers PNR pour Passenger Name Record, sont des données personnelles concernant les passagers des vols nationaux et internationaux collectées par les compagnies aériennes au cours des procédures de réservation et d’enregistrement.

Ces dossiers personnalisés ont été créés à l’origine pour permettre aux compagnies aériennes de gérer leur réservations de vol. Les données récoltées sont enregistrées par un système centralisé de réservation tel qu’Amadeus, Sabre, Worldspan ou Galileo, utilisés par les agences de voyage et les flight brokers.

A la suite des attentats du 11 septembre 2001, les États-Unis, le Canada, l’Australie et le Royaume-Uni se sont dotés d’un système de collecte et de surveillance des PNR, le Royaume-Uni dans le cadre du programme e-borders, et les États-Unis dans le cadre du programme US-VISIT mis en place par le DHS (Department of Homeland Security) afin d’identifier et de prévenir de potentielles menaces sur la sécurité aérienne et nationale.

Ces décisions ont soulevé de nombreuses réactions de la part des défenseurs des libertés publiques portant sur la confidentialité des données et les risques engendrés par des fichiers centralisés rassemblant autant d’informations personnelles. Il apparaît toutefois que la menace portant sur les données PNR n’est pas au cœur des systèmes de surveillance des Etats mais bien dans l’usage quotidien des systèmes de réservation.

Tergiversations européennes

Côté européen, après des années de controverses liées justement en partie à la confidentialité des données, un accord provisoire a été conclu par les négociateurs du Parlement et du Conseil de l’Europe, le 2 décembre 2015 sur une directive européenne réglementant de la même façon l’utilisation des données des dossiers passagers (PNR) à des fins de prévention et de détection de formes graves de criminalité et d’infractions terroristes ou d’enquêtes et de poursuites criminelles. Le Conseil a adopté la directive le 21 avril 2016. Les États membres disposeront d’un délai de deux ans pour mettre en vigueur les dispositions législatives, règlementaires et administratives nécessaires pour se conformer à cette directive créant ainsi un fichier PNR européen, disposant d’un égal niveau de protection des données.[i]

Accords et désaccords sur la gestion des données personnelles

Cependant, des accords ont, entretemps, été conclus, permettant les échanges de ces données entre les Etats, notamment entre les Etats-Unis et certains Etats européens, ou entre les Etats-Unis et l’Union Européenne, portant à controverse sur la conservation et l’utilisation de ces données, en fonction des niveaux très variables de protection des données personnelles dans les diverses réglementations nationales. Car  la réglementation en la matière diffère en fonction des pays et certains n’ont d’ailleurs pas attendu la décision européenne pour mettre en place des outils de contrôle et de profilage utilisant les PNR.

La French PNR

En France, depuis 2006, la loi relative à la lutte contre le terrorisme permet leur utilisation à des fins de surveillance et de sécurité du territoire. Depuis 2013, le «système API-PNR France» issu de la LPM concerne toutes les compagnies aériennes et l’ensemble des passagers des vols à destination et en provenance du territoire national, à l’exception des déplacements reliant deux points de la France métropolitaine. Ce fichier est géré par le ministère de l’Intérieur et de la Défense en collaboration avec les Transports et les Douanes à travers un service à compétence nationale dénommé « Unité Information Passagers » (UIP)[ii]. La CNIL jouant un rôle consultatif en matière de protection de la confidentialité des données, a relevé la criticité d’un tel fichier tout en tenant compte des garanties prévues en matière juridique, de collecte, d’exploitation et de sécurité de ces informations personnelles. Oui mais…

Des données extrêmement sensibles… à la portée du premier venu

On le sait, les données des dossiers passagers (PNR) intègrent, outre toutes les informations liées aux documents d’identités et aux données de paiement, un profil extrêmement précis du passager pouvant intégrer ses affiliations religieuses, son état de santé, son niveau de revenu, parfaitement déductible de ses préférences alimentaires, de ses demandes spécifiques ou de ses moyens de paiement. Et cela, même si la directive européenne souligne que “la collecte et l’utilisation des données sensibles révélant, directement ou indirectement la race, l’origine ethnique, les convictions religieuses ou philosophiques,(…) son état de santé ou sa vie sexuelle sont interdites.”[iii]

Lors de la 33ème édition du Chaos Communication Congress (CCC) à Hambourg, le 27 décembre dernier, deux chercheurs en sécurité informatique, Karsten Nohl et Nemanja Nikodijevic, ont démontré à l’occasion de la conférence que les données PNR pouvait être consultées, détournées ou modifiées en toute liberté tant par des hackers un peu futés que par les salariés des agences de voyage, compagnies aériennes et flight brokers, qui ont accès aux données hébergées par les GDS (Global Distribution Systems).

Comme souvent en matière de Cybersécurité, la menace est au coin de la rue et pas obligatoirement où on l’imagine. Pour peu qu’on croise en plus ces données avec des informations issues des réseaux sociaux, le vol de données PNR peut devenir une opération juteuse.

Comme le souligne Martin Untersinger du journal Le Monde, “Les dangers varient selon les mécanismes de protection mis en place sur les sites permettant de récupérer les données personnelles avec le numéro de réservation et le nom (compagnies aériennes, sites des GDS…). Mais il est possible de changer le nom du passager, l’e-mail et la date du vol, et donc de voyager à la place de sa victime. Il est également possible de se faire rembourser le vol, par exemple en points de fidélité. C’est ainsi que les deux chercheurs ont, lors de leur présentation, accédé au dossier d’une passagère voyageant de Munich à Seattle et ayant commis l’imprudence de poster sa carte d’embarquement sur Instagram.”[iv]

Les utilisateurs, le risque numéro un

Une chose est certaine, sans aller jusqu’aux hackers, des milliers de personnes sont habilitées à accéder chaque jour aux données personnelles de millions de voyageurs, dans les hôtels, les agences, les sites de voyage, et représentent un risque considérable qui doit être pris en compte.

Avec le déploiement de solutions de contrôle des utilisateurs à privilèges comme le Bastion WALLIX, il devient presque impossible de dérober des données pour en faire un usage inapproprié.

Grâce aux mécanismes d’authentification unique, de contrôle d’accès, d’enregistrement des sessions et de gestion des mots de passe, les données restent accessibles mais au filtre d’un système de contrôle simple de déploiement et d’utilisation, rigoureux dans ses principes.

Grâce aux solutions de Bastion WALLIX, déjà adoptées par de nombreuses entreprises et institutions hébergeant des données personnelles ou sensibles, les utilisateurs sont en confiance car leurs données ne sont plus… en libre service.

Pour plus d’informations, rendez-vous sur www.wallix.com ou contactez-nous pour une démo gratuite: