KOMMISSIONENS BESLUT
av den 14 maj 2004
om adekvat skydd av personuppgifter som finns i Passenger Name Record för flygpassagerare som överförs till Förenta staternas tull- och gränsskyddsmyndighet
[delgivet med nr K(2004) 1914]
(Text av betydelse för EES)
(2004/535/EG)
EUROPEISKA GEMENSKAPERNAS KOMMISSION HAR FATTAT DETTA BESLUT
med beaktande av Fördraget om upprättandet av Europeiska gemenskapen,
med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), särskilt artikel 25.6 i detta, och
av följande skäl:
(1)
Enligt direktiv 95/46/EG skall medlemsstaterna föreskriva att överföring av personuppgifter till ett tredjeland endast får ske om ifrågavarande tredjeland har en adekvat skyddsnivå och om medlemsstaternas lagar om genomförande av andra bestämmelser i direktivet efterlevs före överföringen.
(2)
Kommissionen kan konstatera att ett tredjeland har en adekvat skyddsnivå. I sådana fall får personuppgifter överföras från medlemsstaterna utan att det behövs några ytterligare garantier.
(3)
Enligt direktiv 95/46/EG skall bedömningen av skyddsnivån ske mot bakgrund av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter, varvid särskilt skall beaktas vissa för överföringen relevanta aspekter som anges i artikel 25.2 i direktivet.
(4)
I samband med lufttransporter avses med Passenger Name Record (PNR) en uppsättning uppgifter om varje passagerares resa som det bokningsansvariga flygbolaget och andra medverkande flygbolag behöver för bokning och bokningskontroll. För tillämpningen av detta beslut avses med ”passagerare” även besättningsmedlem. Begreppet ”bokningsansvarigt flygbolag” betyder ett flygbolag hos vilket passageraren gjorde sin ursprungliga bokning eller för vilket tilläggsbokningar gjordes efter att resan påbörjades. Begreppet ”medverkande flygbolag” betyder ett flygbolag hos vilket det bokningsansvariga flygbolaget har begärt att plats skall hållas på en eller flera flygningar för en passagerare.
(5)
Förenta staternas tull- och gränsskyddsmyndighet, CBP (Bureau of Customs and Border Protection) i Departementet för hemlandets säkerhet, DHS (Department of Homeland Security) kräver att alla lufttrafikföretag som bedriver passagerartrafik till och från Förenta staterna ger CBP elektronisk tillgång till de PNR som samlas in och lagras i lufttrafikföretagens automatiska bokningssystem.
(6)
Kraven om överföring till CBP av personuppgifter i flygpassagerarnas PNR grundar sig på en lag som antogs av Förenta staterna i november 2001 (2) och de tillämpningsföreskrifter som CBP har antagit i överensstämmelse med denna lag (3).
(7)
Den aktuella amerikanska lagen syftar till att öka säkerheten och skärpa villkoren för in- och utresa i landet, frågor för vilka Förenta staterna har högsta beslutanderätt inom det egna rättsskipningsområdet. De krav som ställs strider inte heller mot Förenta staternas internationella åtaganden. Förenta staterna är ett demokratiskt land och ett rättssamfund med en stark tradition när det gäller medborgerliga friheter. Lagstiftningsprocessens legitimitet och domstolarnas styrka och oberoende går inte att ifrågasätta. En annan stark garanti mot en kränkning av medborgerliga friheter är pressfriheten.
(8)
Gemenskapen stöder fullständigt Förenta staternas kamp mot terrorism inom de ramar som fastställs i gemenskapsrätten. Gemenskapsrätten tillhandahåller regler som gör det möjligt att hitta en nödvändig balans mellan säkerhetskrav och skydd av privatlivet. Till exempel framgår det av artikel 13 i direktivet 95/46/EG att medlemsstaterna genom lagstiftning får begränsa omfattningen av vissa krav i direktivet, om en sådan begränsning är nödvändig med hänsyn till statens säkerhet, försvar eller allmänna säkerhet eller förebyggande av, undersökning av, avslöjande av eller åtal för brott.
(9)
Den aktuella överföringen av uppgifter gäller särskilda registeransvariga, dvs. flygbolag som flyger mellan gemenskapen och Förenta staterna, och avser endast en mottagare i Förenta staterna, nämligen CBP.
(10)
Varje avtal som ingås för att skapa rättsliga ramar för överföringar av PNR till Förenta staterna, särskilt på grundval av detta beslut, bör vara tidsbegränsat. En överenskommelse har träffats om en period på tre och ett halvt år. Under denna period kan förhållandena förändras avsevärt och gemenskapen och Förenta staterna är därför överens om att det kommer att bli nödvändigt att utvärdera avtalet.
(11)
När CBP mottar PNR behandlar den flygpassagerarnas personuppgifter i enlighet med villkoren i den åtagandeförklaring som myndigheten avgav den 11 maj 2004 (Undertakings of the Department of Homeland Security Bureau of Customs and Border Protection, nedan kallat ”åtagandeförklaringen”) samt den nationella amerikanska lagstiftning som nämns i åtagandeförklaringen.
(12)
När det gäller Förenta staternas nationella lagstiftning är lagen om informationsfrihet, FOIA (Freedom of Information Act) relevant i detta sammanhang, därför att den fastställer villkoren för när CBP kan motsätta sig krav på utlämnande av uppgifter och därigenom se till att PNR behandlas konfidentiellt. FOIA reglerar utlämnandet av PNR till den registrerade, vilket har ett nära samband med dennes rätt till tillgång till uppgifter. FOIA gäller såväl amerikanska som utländska medborgare.
(13)
När det gäller åtagandeförklaringen kommer dess innehåll att enligt dess punkt 44 att införlivas i, eller har redan införlivats i en rad lagar (statutes), förordningar (regulations), direktiv (directives) eller andra instrument i Förenta staterna, vilket betyder att de får rättslig verkan i varierande grad. Åtagandeförklaringen kommer att offentliggöras i sin helhet i det federala registret (Federal Register) av DHS. Den utgör således ett viktigt och välövervägt politiskt åtagande från DHS, och Förenta staterna och gemenskapen kommer gemensamt att utvärdera hur den efterlevs. Bristande efterlevnad skulle på så sätt kunna påtalas via rättsliga, administrativa och politiska kanaler, beroende på vad som är mest lämpligt, och om bristerna kvarstod skulle följden bli att detta beslut upphävs.
(14)
Normerna som CBP, på grundval av den amerikanska lagstiftningen och åtagandeförklaringen, kommer att tillämpa för behandlingen av passagerares PNR-uppgifter omfattar nödvändiga grundprinciper för att säkerställa en adekvat skyddsnivå för fysiska personer.
(15)
När det gäller principen om avgränsning av ändamålet, skall flygpassagerares personuppgifter i PNR som överförs till CBP behandlas för ett särskilt ändamål och kommer därför endast att användas eller lämnas vidare om detta inte strider mot syftet med överföringen. PNR-uppgifter kommer endast att användas i syfte att förebygga och bekämpa terrorism och därmed relaterad kriminalitet samt andra allvarliga brott, inklusive organiserad brottslighet, av gränsöverskridande beskaffenhet och flykt från ett anhållnings- eller häktningsbeslut för dessa brott.
(16)
När det gäller uppgifternas kvalitet och proportionalitetsprincipen som skall beaktas i samband med de viktiga allmänna intressen som är skälet till att PNR-uppgifterna överförs, kommer CBP inte att ändra i PNR-uppgifter som den mottagit. Högst 34 PNR-kategorier kommer att överföras och de amerikanska myndigheterna kommer att rådgöra med kommissionen före eventuella krav på nya poster. Ytterligare personuppgifter som söks som ett direkt resultat av konkreta PNR-uppgifter får när det gäller andra källor än offentliga register endast inhämtas via lagliga kanaler. Som en allmän regel kommer PNR-uppgifter att utplånas efter högst tre år och sex månader, med undantag för sådana uppgifter som har konsulterats för särskilda undersökningar eller på annat sätt har konsulterats manuellt.
(17)
När det gäller öppenhetsprincipen kommer CBP att informera resenärer om syftet med överföring och behandling av uppgifter och lämna uppgifter om identiteten på den registeransvarige i tredjeland och övrig information.
(18)
När det gäller säkerhetsprincipen kommer CBP att vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder med hänsyn till den risk som behandlingen innebär.
(19)
Rätten till tillgång och rättelse tillgodoses, eftersom den registrerade kan begära en kopia av sina PNR-uppgifter och få uppgifterna rättade om de är felaktiga. De undantag som anges motsvarar i stort sett de begränsningar som medlemsstaterna kan införa enligt artikel 13 i direktivet 95/46/EG.
(20)
Vidareöverföring kommer att göras till andra terroristbekämpande eller rättsvårdande offentliga myndigheter, inklusive utländska myndigheter, efter en bedömning av varje enskilt fall, för ändamål motsvarande dem som fastställs i förklaringen om ändamålsavgränsning. Överföringar kan dessutom göras för att skydda den registrerades eller andra personers vitala intressen, särskilt när det gäller väsentliga hälsorisker, eller i samband med straffrättsliga förfaranden eller på grund av andra hänsyn till lagen. Dessa mottagande organ, som omfattas av de uttryckliga bestämmelserna om utlämnande av uppgifter, får endast använda uppgifterna för de syften som uppgavs vid förfrågan och måste ha CBP:s godkännande för att få vidareöverföra uppgifterna. Inga andra utländska, federala, statliga eller lokala organ har direkt elektronisk tillgång till PNR genom CBP:s databaser. CBP kommer, med stöd av undantagsbestämmelserna i FOIA att vägra att offentliggöra PNR.
(21)
CBP använder inte sådana känsliga uppgifter som avses i artikel 8 i direktiv 95/46/EG och i väntan på att ett system med filter har installerats som kan ta bort sådana uppgifter från PNR som överförs till Förenta staterna, åtar sig CBP att införa möjligheter för att radera sådana uppgifter, samt att under tiden inte använda dessa uppgifter.
(22)
När det gäller verkställandemekanismer för säkerställande av att CBP följer ovan nämnda principer, har man beslutat om utbildning och information av personalen inom CBP och infört påföljder som kan användas mot enskilda anställda. Övervakningen av hur CBP respekterar den personliga integriteten sköts av den tjänsteman inom DHS som ansvarar för skyddet av privatlivets helgd (Chief Privacy Officer); denna tjänsteman har stor organisatorisk självständighet och avlägger årligen rapport till kongressen. Personer vilkas PNR-uppgifter har överförts kan vända sig till CBP, eller om ärendet inte får någon lösning, till ovannämnda tjänsteman inom DHS, antingen direkt eller via medlemsstaternas dataskyddsmyndigheter. DHS:s kontor för skydd av privatlivets helgd (Privacy Office) kommer skyndsamt att handlägga sådana klagomål från invånare i gemenskapen som medlemsstaternas dataskyddsmyndigheter hänvisat dit på dessas vägnar, om den klagande anser att CBP eller DHS:s kontor för skydd av privatlivets helgd inte har behandlat ärendet på ett tillfredsställande sätt. En grupp som leds av CBP i samarbete med DHS och kommissionen kommer årligen att granska hur åtagandeförklaringen efterlevs.
(23)
För att värna om principen om öppenhet och för att säkerställa att de behöriga myndigheterna i medlemsstaterna har befogenhet att kunna garantera att fysiska personer skyddas i samband med behandling av deras personuppgifter, är det nödvändigt att specificera under vilka särskilda omständigheter som det är motiverat att tills vidare avbryta vissa uppgiftsöverföringar, oavsett om skyddsnivån befunnits vara adekvat.
(24)
Arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter, som inrättats med stöd av artikel 29 i direktiv 95/46/EG, har avgett yttranden om den skyddsnivå som amerikanska myndigheter har för passageraruppgifter, vilka har väglett kommissionen i förhandlingarna med DHS. Kommissionen har beaktat dessa yttranden vid utarbetandet av detta beslut (4).
(25)
De åtgärder som fastställs i detta beslut är förenliga med yttrandet från den kommitté som inrättats i enlighet med artikel 31.1 i direktiv 95/46/EG.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
För tillämpningen av artikel 25.2 i direktiv 95/46/EG skall Förenta staternas tull- och gränsskyddsmyndighet, CBP (Bureau of Customs and Border Protection) anses säkerställa en adekvat skyddsnivå för PNR-uppgifter avseende flyg till och från Förenta staterna som överförs från gemenskapen i överensstämmelse med åtagandeförklaringen i bilagan.
Artikel 2
Detta beslut avser den skyddsnivå som CBP erbjuder i syfte att uppfylla kraven i artikel 25.1 i direktiv 95/46/EG och skall inte påverka andra villkor eller begränsningar varigenom andra bestämmelser i direktivet genomförs med avseende på behandlingen av personuppgifter i medlemsstaterna.
Artikel 3
1. Behöriga myndigheter i medlemsstaterna får, utan att det påverkar deras befogenheter att vidta åtgärder för att säkerställa efterlevnaden av nationella bestämmelser som antagits enligt andra bestämmelser än artikel 25 i direktiv 95/46/EG, utöva sina befintliga befogenheter för att tills vidare avbryta uppgiftsöverföringar till CBP i syfte att skydda enskilda med avseende på behandlingen av deras personuppgifter i följande fall:
a)
om en behörig amerikansk myndighet fastställt att CBP bryter mot tillämpliga skyddsregler,
b)
om sannolikheten är stor att skyddsreglerna i bilagan inte efterlevs, om det finns rimliga skäl att anta att CBP inte vidtar eller inte kommer att vidta adekvata åtgärder i tid för att lösa ärendet, om fortsatt överföring skulle innebära en överhängande risk för att de registrerade lider allvarlig skada och de behöriga myndigheterna i medlemsstaten under dessa omständigheter har vidtagit rimliga åtgärder för att underrätta CBP och gett den tillfälle att yttra sig.
2. Avbrottet skall upphöra så snart det är fastställt att skyddsreglerna följs och de behöriga myndigheterna i medlemsstaterna har underrättats om detta.
Artikel 4
1. Medlemsstaterna skall utan dröjsmål underrätta kommissionen om åtgärder som vidtagits med stöd av artikel 3.
2. Medlemsstaterna och kommissionen skall underrätta varandra om varje förändring av skyddsreglerna och om fall där de åtgärder som vidtas av organ som ansvarar för att CBP följer skyddsreglerna i bilagan inte leder till att dessa regler efterlevs.
3. Om den information som inhämtats enligt artikel 3 och punkterna 1 och 2 i denna artikel visar att nödvändiga grundprinciper för att säkerställa en adekvat skyddsnivå för fysiska personer inte längre efterlevs, eller att ett organ som ansvarar för att CBP följer skyddsreglerna i bilagan inte fullgör denna uppgift på ett verkningsfullt sätt, skall CBP underrättas om detta och vid behov skall det förfarande som anges i artikel 31.2 i direktiv 95/46/EG tillämpas i syfte att tills vidare eller slutgiltigt upphäva detta beslut.
Artikel 5
Tillämpningen av detta beslut skall övervakas och alla relevanta slutsatser skall rapporteras till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG, vilket även omfattar alla omständigheter som skulle kunna påverka konstaterandet i artikel 1 i detta beslut om att skyddet av personuppgifter i de flygpassagerares PNR som överförs till CBP är adekvat i den mening som avses i artikel 25 i direktiv 95/46/EG.
Artikel 6
Medlemsstaterna skall vidta alla erfordliga åtgärder för att följa detta beslut senast fyra månader efter det att det delgivits.
Artikel 7
Detta beslut upphör att gälla tre år och sex månader efter det att det delgivits, om det inte förlängs i enlighet med det förfarande som föreskrivs i artikel 31.2 i direktiv 95/46/EG.
Artikel 8
Detta beslut riktar sig till medlemsstaterna.
Utfärdat i Bryssel den 14 maj 2004.