Depuis la pandémie de Covid-19, la traçabilité des voyageurs est devenue une priorité sanitaire et sécuritaire pour les États membres de l’Union européenne. L’European PLF — le Passenger Locator Form européen — s’inscrit dans cette logique de surveillance coordonnée des déplacements transfrontaliers. Ce formulaire, longtemps utilisé de manière fragmentée selon les pays, fait l’objet d’une harmonisation réglementaire dont l’entrée en vigueur est fixée à 2026. Pour les entreprises du secteur du transport, les compagnies aériennes, mais aussi les opérateurs de croisières et les prestataires de voyages, cette échéance soulève des questions juridiques précises. Qui collecte les données ? Qui en est responsable ? Quelles sanctions en cas de non-conformité ? Autant de points que les juristes, les directions conformité et les responsables juridiques doivent anticiper dès maintenant.
Ce qu’est réellement le European PLF et pourquoi il change de nature en 2026
Le Passenger Locator Form existe depuis plusieurs décennies dans le domaine de la santé publique internationale. À l’origine, il s’agissait d’un outil épidémiologique permettant aux autorités sanitaires de retracer les contacts d’un voyageur potentiellement exposé à une maladie infectieuse. Son usage s’est intensifié durant la crise du Covid-19, lorsque des millions de formulaires ont été remplis dans des conditions d’urgence, avec des bases légales souvent fragiles.
Ce qui change en 2026, c’est la nature même du dispositif. L’European PLF ne sera plus un outil de crise activé ponctuellement : il deviendra un mécanisme permanent, encadré par une base réglementaire commune à l’ensemble des États membres. La Commission européenne travaille depuis plusieurs années à l’élaboration d’un cadre harmonisé, en coordination avec l’ECDC (Centre européen de prévention et de contrôle des maladies), pour garantir l’interopérabilité des systèmes nationaux.
Concrètement, le formulaire collecte des données de localisation (adresse de résidence, hébergement de destination), des informations d’identité et, selon les circonstances, des données de santé. Cette dernière catégorie place immédiatement le dispositif sous le régime du RGPD, puisque les données de santé constituent des données sensibles au sens de l’article 9 du Règlement général sur la protection des données.
La distinction entre un simple formulaire administratif et un outil de collecte de données personnelles sensibles n’est pas anodine. Elle détermine l’ensemble des obligations légales applicables aux acteurs qui traitent ces informations, qu’il s’agisse des compagnies aériennes, des États membres ou des plateformes numériques de voyage.
Les obligations légales que ce cadre impose aux professionnels du voyage
Les enjeux juridiques du European PLF se structurent autour de plusieurs axes que les professionnels concernés doivent maîtriser. La mise en conformité ne se limite pas à remplir un formulaire : elle implique une refonte des processus internes de collecte, de stockage et de transmission des données.
Les principales obligations qui découlent du cadre réglementaire en cours de finalisation comprennent notamment :
- La désignation d’un responsable de traitement clairement identifié pour chaque opération de collecte de données PLF, conformément au RGPD
- La mise en place d’une base légale explicite pour le traitement des données de santé (consentement, intérêt public ou obligation légale selon les cas)
- L’obligation d’information des passagers sur la finalité du traitement, la durée de conservation et les destinataires des données
- La sécurisation des transferts de données entre les systèmes nationaux des États membres et les plateformes centralisées
- La mise en œuvre de procédures de réponse aux demandes d’exercice de droits (accès, rectification, suppression) dans les délais prévus par le RGPD
Ces obligations s’appliquent de manière différenciée selon le rôle de chaque acteur. Une compagnie aérienne qui collecte les données PLF directement auprès du passager est responsable de traitement au sens du RGPD. Si elle transmet ensuite ces données à une autorité sanitaire nationale, elle peut se retrouver en position de sous-traitant pour certaines opérations. Cette dualité de rôles génère des risques juridiques spécifiques qu’un professionnel du droit spécialisé en droit des données doit analyser au cas par cas.
La question des sanctions mérite une attention particulière. Le RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les violations les plus graves. La collecte illégale de données de santé sans base légale adéquate entre directement dans cette catégorie.
Qui est réellement concerné par le dispositif
La liste des acteurs soumis aux obligations du European PLF est plus large qu’il n’y paraît. Les compagnies aériennes sont les premières concernées, puisqu’elles disposent déjà des données d’identité des passagers et constituent le point de contact naturel pour la collecte du formulaire. Mais elles ne sont pas seules.
Les gouvernements nationaux des États membres ont la responsabilité de déployer les interfaces numériques permettant la collecte et le traitement des données PLF. Plusieurs pays ont développé leurs propres plateformes durant la pandémie — la France avec le formulaire dématérialisé, la Grèce avec le système PLF.gov.gr — et devront les adapter aux nouvelles exigences communes. Cette mise à niveau technique a un coût et implique des marchés publics, des appels d’offres, des délais de déploiement.
Les agences de santé publique nationales et européennes, dont l’ECDC, jouent un rôle dans la définition des données collectées et dans leur exploitation épidémiologique. Leur statut d’autorité publique leur confère des dérogations spécifiques au RGPD, notamment pour le traitement de données à des fins de santé publique, mais ces dérogations ne sont pas illimitées.
Les opérateurs de croisières, les entreprises ferroviaires exploitant des liaisons internationales et les prestataires de services de voyage en ligne entrent également dans le périmètre. Pour ces acteurs, la conformité au European PLF s’ajoute à un empilement réglementaire déjà conséquent : directive NIS2, RGPD, réglementation sur les services numériques (DSA). La gestion simultanée de ces obligations nécessite une cartographie précise des traitements de données et une gouvernance juridique solide.
Calendrier et délais : ce que les directives de 2025 imposent
L’entrée en vigueur du dispositif en 2026 ne signifie pas que les entreprises peuvent attendre l’année prochaine pour agir. La Commission européenne a annoncé la publication des directives d’application en 2025, ce qui laisse aux acteurs concernés un délai de mise en conformité estimé à quelques mois seulement après la publication officielle des textes.
Ce calendrier serré s’explique par la volonté politique d’éviter la répétition des approximations observées durant la pandémie, où des données de passagers avaient été collectées sans cadre légal clair, exposant les États membres à des recours juridiques. Plusieurs associations de défense des droits numériques, dont La Quadrature du Net en France, avaient contesté la légalité de certains dispositifs PLF nationaux devant les juridictions administratives.
Les délais de mise en conformité varient selon les pays membres, en fonction de leur avancement technologique et de leur cadre législatif national. Les États qui ont déjà transposé les directives européennes sur la santé numérique disposent d’une longueur d’avance. D’autres devront adopter des textes législatifs spécifiques, ce qui ajoute une couche d’incertitude pour les entreprises opérant dans plusieurs pays simultanément.
Une veille juridique active sur le Journal officiel de l’Union européenne et sur les publications de la Commission est indispensable pour suivre l’évolution du cadre réglementaire. Les directions juridiques doivent intégrer cette surveillance dans leurs processus dès maintenant, sans attendre la publication des textes définitifs.
Anticiper plutôt que subir : les actions concrètes à engager avant 2026
La conformité au European PLF ne s’improvise pas à quelques semaines de l’entrée en vigueur. Les entreprises qui attendent les textes définitifs pour démarrer leur mise en conformité prendront un risque juridique et opérationnel significatif. Plusieurs actions peuvent être engagées dès maintenant sur la base du cadre existant.
La première étape consiste à réaliser un audit des flux de données existants liés à la gestion des voyageurs. Quelles données sont déjà collectées ? Sur quelle base légale ? Où sont-elles stockées et pendant combien de temps ? Cette cartographie est un prérequis à toute démarche de conformité RGPD, et elle servira directement pour le déploiement du PLF.
La deuxième action concerne la formation des équipes juridiques et conformité aux spécificités du droit de la santé publique européenne. Le European PLF se situe à l’intersection du droit des données personnelles, du droit sanitaire et du droit administratif européen. Cette transversalité exige des compétences pluridisciplinaires que toutes les directions juridiques ne possèdent pas encore.
Enfin, le recours à un professionnel du droit spécialisé en droit européen des données reste la garantie la plus solide contre les risques de non-conformité. Les textes publiés par la Commission européenne et les orientations de l’ECDC constituent des références précieuses, mais leur interprétation dans un contexte opérationnel spécifique nécessite une expertise que seul un juriste qualifié peut apporter. Seul un professionnel du droit peut donner un conseil personnalisé adapté à la situation particulière de chaque organisation.