ROZHODNUTÍ KOMISE
ze dne 14. května 2004
o odpovídající úrovni ochrany osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají Úřadu USA pro cla a ochranu hranic
(oznámeno pod číslem K(2004) 1914)
(Text s významem pro EHP)
(2004/535/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 této směrnice,
vzhledem k těmto důvodům:
(1)
Směrnice 95/46/ES vyžaduje, aby členské státy stanovily, že k předávání osobních údajů do třetí země může dojít pouze tehdy, pokud dotyčná třetí země zajistí odpovídající úroveň ochrany a pokud jsou před předáním údajů dodrženy právní předpisy členských států provádějící ostatní ustanovení uvedené směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů vyhodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů se zvláštním přihlédnutím k řadě skutečností, které pro ně mají význam a jsou vyjmenovány v čl. 25 odst. 2 uvedené směrnice.
(4)
V rámci letecké dopravy se „záznamem o knihování cestujícího“ (Passenger Name Record - dále jen „PNR“) rozumí záznam o cestovních požadavcích každého cestujícího obsahující veškeré informace, jež jsou nezbytné ke zpracování a kontrole rezervací prováděné rezervačními a zúčastněnými leteckými společnostmi. Pro účely tohoto rozhodnutí zahrnuje výraz „cestující“ členy posádky. „Rezervační leteckou společností“ se rozumí letecká společnost, u níž cestující provedl původní rezervaci nebo dodatečné rezervace po zahájení své cesty. „Zúčastněnou leteckou společností“ se rozumí kterákoli letecká společnost, u níž rezervační letecká společnost požádala o zajištění místa pro cestujícího na jednom nebo více letech.
(5)
Úřad USA pro cla a ochranu hranic (United States Bureau of Customs and Border Protection - dále jen „CBP“) Ministerstva pro vnitřní bezpečnost (Department of Homeland Security - dále jen „DHS“) vyžaduje, aby mu každý letecký dopravce provozující mezinárodní osobní lety z USA nebo do USA poskytl elektronický přístup k PNR v rozsahu, v němž je tento PNR získán a obsažen v počítačovém rezervačním systému daného leteckého dopravce.
(6)
Požadavky na osobní údaje obsažené v PNR leteckého cestujícího, který má být předán CBP, vyplývají ze zákona, který USA přijaly v listopadu 2001 (2), a z prováděcích předpisů, které CBP přijal podle daného zákona (3).
(7)
Dotyčné právní předpisy USA se týkají posílení bezpečnosti a podmínek, za nichž mohou fyzické osoby vstupovat do země a opouštět ji, tedy záležitostí, o nichž mají USA pravomoc rozhodovat v rámci uplatnění své svrchovanosti. Kromě toho nejsou stanovené požadavky neslučitelné s jakýmikoli mezinárodními závazky, které USA přijaly. USA jsou demokratickým právním státem se silnou tradicí občanských svobod. O legitimitě jejich zákonodárného procesu a síle a nezávislosti jejich soudní moci není pochyb. Další silnou zárukou proti porušování občanských svobod je svoboda tisku.
(8)
Společenství je plně odhodláno podporovat USA v boji proti terorismu v mezích uložených právem Společenství. Právo Společenství vyžaduje dosažení rovnováhy mezi bezpečnostními požadavky a požadavky na soukromí. Například článek 13 směrnice 95/46/ES stanoví, že členské státy mohou přijmout legislativní opatření s cílem omezit některé požadavky uvedené směrnice v rozsahu nezbytném k zajištění bezpečnosti státu, obrany, veřejné bezpečnosti, předcházení trestným činům a jejich vyšetřování, odhalování a stíhání.
(9)
Do předávání dotyčných údajů jsou zapojeni zvláštní správci, jmenovitě letecké společnosti, které provozují lety mezi Společenstvím a USA, a pouze jeden příjemce v USA, jmenovitě CBP.
(10)
Jakékoli ujednání týkající se vytvoření právního rámce pro předávání PNR do USA, zejména prostřednictvím tohoto rozhodnutí, by mělo být časově omezeno. Bylo proto dohodnuto období tři a půl roku. Během tohoto období může dojít k výrazné změně situace a Společenství i USA se shodují, že bude nutné ujednání přezkoumat.
(11)
Zpracování osobních údajů obsažených v PNR leteckých cestujících úřadem CBP se řídí podmínkami stanovenými v Závazném prohlášení Úřadu pro cla a ochranu hranic Ministerstva pro vnitřní bezpečnost (CBP) ze dne 11. května 2004 (dále jen „závazné prohlášení“) a ve vnitrostátních právních předpisech USA v rozsahu uvedeném v závazném prohlášení.
(12)
Ve vnitrostátním právu USA má v této souvislosti význam zákon o svobodě informací (Freedom of Information Act - FOIA) v míře, v níž upravuje podmínky, za nichž může CBP odmítnout žádosti o zpřístupnění a zachovat důvěrnost PNR. Uvedený zákon upravuje poskytování PNR osobě, jíž se týká, což je úzce spojeno s právem subjektu údajů na přístup k údajům. Vztahuje se bez rozdílu na občany USA i cizince.
(13)
Ustanovení závazného prohlášení budou nebo již jsou v USA začleněna na základě jeho odstavce 44 do zákonů, nařízení, směrnic nebo jiných politických nástrojů, a proto budou mít nebo již mají různé stupně právní síly. Úplné znění závazného prohlášení bude na základě pravomoci DHS zveřejněno ve Federálním rejstříku. Jako takové představuje ze strany DHS vážný a dobře uvážený politický závazek a jeho plnění bude podléhat společnému přezkumu ze strany USA a Společenství. Proti neplnění by bylo možné postupovat příslušnými právními, administrativními a politickými cestami a v případě přetrvávajícího neplnění by došlo k pozastavení účinků tohoto rozhodnutí.
(14)
Normy, podle nichž bude CBP zpracovávat údaje obsažené v PNR cestujících na základě právních předpisů USA a závazného prohlášení, obsahují základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob.
(15)
Pokud jde o zásadu účelového omezení, budou osobní údaje leteckých cestujících obsažené v PNR předaném CBP zpracovány pro zvláštní účel a dále využity nebo sděleny pouze v tom rozsahu, který není neslučitelný s účely předání. Obzvláště pak budou údaje obsažené v PNR využity výhradně pro účely předcházení a potírání terorismu a související trestné činnosti, jiných závažných trestných činů nadnárodní povahy včetně organizovaného zločinu a útěku před zatykačem nebo soudní vazbou pro tyto trestné činy.
(16)
Pokud jde o zásadu kvality údajů a přiměřenosti, kterou je třeba vzít v úvahu ve vztahu k závažným důvodům veřejného zájmu, kvůli nimž se údaje PNR předávají, nebude CBP následně měnit údaje obsažené v PNR, který mu byl poskytnut. Bude se předávat maximálně 34 kategorií údajů PNR a orgány USA budou konzultovat Komisi dříve, než se rozhodnou přidat jakékoli nové požadavky. Dodatečné osobní informace, které budou vyhledávány v důsledku údajů obsažených v PNR, budou získávány z mimovládních zdrojů pouze zákonnými cestami. Obecně platí, že PNR bude po nejvýše třech letech a šesti měsících vymazán s výjimkou údajů, které byly vyhledány z důvodů zvláštního vyšetřování nebo jinak ručně vyhledány.
(17)
Pokud jde o zásadu transparentnosti, poskytne CBP cestujícím informace o účelu předávání a zpracování, o totožnosti správce údajů ve třetí zemi a další informace.
(18)
Pokud jde o zásadu bezpečnosti, přijme CBP taková technická a organizační opatření, která jsou přiměřená rizikům, jež obnáší zpracování.
(19)
Jsou uznána práva na přístup a opravu v té podobě, že si subjekt údajů může vyžádat kopii údajů PNR a požadovat opravu nepřesných údajů. Předpokládané výjimky jsou vesměs srovnatelné s omezeními, která mohou členské státy zavést podle článku 13 směrnice 95/46/ES.
(20)
Údaje lze v jednotlivých případech dále předat jiným vládním orgánům odpovědným za boj proti terorismu nebo za výkon veřejné moci, včetně orgánů zahraničních vlád, pro účely, které odpovídají účelům vymezeným v ustanovení o účelovém omezení. Údaje mohou být také předány z důvodů ochrany životně důležitých zájmů subjektu údajů nebo jiných osob, zejména pokud jde o závažná zdravotní rizika nebo o zájmy v jakémkoli trestním soudním řízení, nebo je-li tak jinak vyžadováno ze zákona. Přijímající úřady jsou podle výslovných podmínek zpřístupnění povinny využít údaje pouze k těmto účelům a nepředávat údaje dále bez souhlasu CBP. Do databáze CBP nemá přímý elektronický přístup žádný jiný zahraniční, federální, státní nebo místní úřad. CBP odmítne veřejné zpřístupnění PNR na základě výjimek z příslušných ustanovení zákona o svobodě informací.
(21)
CBP nevyužije citlivé údaje ve smyslu článku 8 směrnice 95/46/ES a zavazuje se, že dokud nebude fungovat systém filtrů na vyřazení takových údajů z PNR předávaných do USA, zavede prostředky na jejich vymazání a nebude je využívat.
(22)
Pokud jde o mechanismus, který má zajistit dodržování těchto zásad ze strany CBP, je zajištěno školení a informování zaměstnanců CBP a jsou stanoveny postihy pro jednotlivé zaměstnance. Zachování soukromí ze strany CBP bude obecně pod kontrolou vedoucího Úřadu na ochranu soukromí DHS (DHS Chief Privacy Officer), který je sice úředníkem DHS, ale je do velké míry organizačně samostatný a musí každý rok předkládat zprávu Kongresu. Osoby, jejichž údaje PNR byly předány, mohou zasílat své stížnosti CBP nebo, pokud jim nebude vyhověno, vedoucímu Úřadu na ochranu soukromí DHS, a to buď přímo, nebo prostřednictvím úřadů na ochranu údajů v členských státech. Úřad pro ochranu soukromí DHS (DHS Privacy Office) bude urychleně vyřizovat stížnosti, které mu předají úřady na ochranu údajů v členských státech jménem osob, které mají pobyt ve Společenství, pokud se tyto osoby domnívají, že CBP nebo Úřad na ochranu soukromí DHS jejich stížnost nevyřídily uspokojivě. Dodržování závazného prohlášení bude společně přezkoumáno CBP spolu s DHS a skupinou vedenou Komisí.
(23)
V zájmu transparentnosti a s cílem zachovat schopnost příslušných orgánů v členských státech zajistit ochranu jednotlivců, pokud jde o zpracování jejich osobních údajů, je nutné upřesnit výjimečné okolnosti, za nichž je možné odůvodnit pozastavení konkrétních toků údajů nezávisle na tom, zda úroveň ochrany byla shledána jako odpovídající.
(24)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, která byla zřízena podle článku 29 směrnice 95/46/ES, vydala stanoviska o úrovni ochrany poskytované údajům cestujících ze strany orgánů USA, jimiž se Komise řídila při jednání s DHS. Komise vzala tato stanoviska na vědomí při přípravě tohoto rozhodnutí (4).
(25)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Pro účely čl. 25 odst. 2 směrnice 95/46/ES se má za to, že Úřad USA pro cla a ochranu hranic (United States’ Bureau of Customs and Border Protection - dále jen „CBP“) zajišťuje odpovídající úroveň ochrany údajů PNR předávaných ze Společenství v souvislosti s lety do USA nebo z USA v souladu se závazným prohlášením uvedeným v příloze.
Článek 2
Toto rozhodnutí se týká odpovídající úrovně ochrany poskytované úřadem CBP v souvislosti s plněním požadavků čl. 25 odst. 1 směrnice 95/46/ES a nemá vliv na ostatní podmínky nebo omezení, jimiž se provádějí jiná ustanovení uvedené směrnice související se zpracováním osobních údajů v členských státech.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států činit kroky na zajištění souladu s vnitrostátními předpisy přijatými podle jiných ustanovení než článku 25 směrnice 95/46/ES, mohou příslušné orgány členských států využít svou stávající pravomoc pozastavit tok údajů do CBP s cílem ochránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v následujících případech:
a)
pokud příslušný orgán USA stanovil, že CBP porušuje platné normy ochrany, nebo
b)
pokud existuje vysoká pravděpodobnost, že jsou porušovány normy ochrany stanovené v příloze, existují rozumné důvody k domněnce, že CBP nečiní nebo neučiní přiměřené a včasné kroky na vyřešení daného případu, pokračující předávání by vytvořilo bezprostřední nebezpečí vážné újmy subjektu údajů a příslušné orgány členského státu vynaložily v dané situaci rozumné úsilí na doručení upozornění CBP a poskytly mu příležitost k reakci.
2. Pozastavení skončí, jakmile bude zajištěno dodržování norem ochrany a toto bude oznámeno příslušným orgánům dotyčného členského státu.
Článek 4
1. Členské státy neprodleně informují Komisi, když přijmou opatření podle článku 3.
2. Členské státy a Komise se vzájemně informují o jakýchkoli změnách norem ochrany a o případech, v nichž činnost odpovědných orgánů nezajistila dodržování norem ochrany ze strany CBP v souladu s přílohou.
3. Jestliže informace získané podle článku 3 a podle odstavců 1 a 2 tohoto článku poskytnou skutečnosti prokazující, že přestaly být dodržovány základní zásady nutné pro odpovídající úroveň ochrany fyzických osob nebo že jakýkoli orgán odpovědný za zajišťování dodržování norem ochrany ze strany CBP v souladu s přílohou neplní účinně svou úlohu, bude o tom CBP informován a v případě potřeby se použije postup uvedený v čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit nebo pozastavit toto rozhodnutí.
Článek 5
Fungování tohoto rozhodnutí bude sledováno a jakákoli související zjištění budou oznámena výboru zřízenému podle článku 31 směrnice 95/46/ES včetně jakýchkoli průkazných skutečností, které by mohly ovlivnit závěr uvedený v článku 1 tohoto rozhodnutí, podle něhož je ochrana osobních údajů obsažených v PNR leteckých cestujících, které se předávají CPB, odpovídající ve smyslu článku 25 směrnice 95/46/ES.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do čtyř měsíců od data jeho oznámení.
Článek 7
Použitelnost tohoto rozhodnutí skončí tři roky a šest měsíců po datu jeho oznámení, pokud nebude prodlouženo v souladu s postupem stanoveným v čl. 31 odst. 2 směrnice 95/46/ES.
Článek 8
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 14. května 2004.
DECISÃO DA COMISSÃO
de 14 de Maio de 2004
sobre o nível de protecção adequado dos dados pessoais contidos nos Passenger Name Record transferidos para o Bureau of Customs and Border Protection dos Estados Unidos
[notificada com o número C(2004) 1914]
(Texto relevante para efeitos do EEE)
(2004/535/CE)
A COMISSÃO DAS COMUNIDADES EUROPEIAS,
Tendo em conta o Tratado que institui a Comunidade Europeia,
Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1), e, nomeadamente, o n.o 6 do seu artigo 25.o,
Considerando o seguinte:
(1)
Nos termos da Directiva 95/46/CE, os Estados-Membros devem garantir que a transferência de dados pessoais para um país terceiro só pode realizar-se se o país terceiro em questão assegurar um nível de protecção adequado e a legislação dos Estados-Membros de execução da directiva tiver sido observada antes de efectuada a transferência.
(2)
A Comissão pode considerar que um país terceiro garante um nível de protecção adequado. Nesse caso, podem ser transferidos dados pessoais a partir dos Estados-Membros sem serem necessárias garantias adicionais.
(3)
Nos termos da Directiva 95/46/CE, a adequação do nível de protecção de dados será apreciada em função de todas as circunstâncias que envolvem a transferência ou o conjunto de transferências de dados, tendo em especial consideração determinados elementos pertinentes relativamente à transferência, enumerados no n.o 2 do artigo 25.o dessa directiva.
(4)
No quadro dos transportes aéreos, o «Passenger Name Record» (PNR) é um registo dos dados relativos à viagem de cada passageiro, que contém todas as informações necessárias ao tratamento e controlo das reservas pelas companhias aéreas da reserva e participantes. Para efeitos da presente decisão, os termos «passageiro» e «passageiros» incluem igualmente os membros da tripulação. O termo «companhia aérea da reserva» significa a companhia com a qual o passageiro fez a sua reserva original ou com a qual foram feitas reservas adicionais depois do começo da viagem. O termo «companhias aéreas participantes» significa qualquer companhia aérea à qual a companhia aérea da reserva solicitou um lugar em um ou mais voos para um passageiro.
(5)
O Bureau of Customs and Border Protection (CBP) do Department of Homeland Security (DHS, Ministério da Segurança Interna) dos Estados Unidos exige a todas as companhias aéreas que efectuem voos internacionais de passageiros com destino a ou provenientes dos Estados Unidos que lhe forneçam acesso electrónico aos PNR que estejam compilados e armazenados nos respectivos sistemas automatizados de reservas.
(6)
As regras de transferência dos dados pessoais contidos nos PNR de passageiros aéreos para o CBP baseiam-se num diploma aprovado pelos Estados Unidos em Novembro de 2001 (2) e nos regulamentos de execução adoptados pelo CBP ao abrigo desse diploma (3).
(7)
A legislação norte-americana em questão diz respeito à melhoria da segurança e das condições em que é possível entrar e sair do país, matérias nas quais os Estados Unidos têm poder soberano no âmbito da sua jurisdição. Por outro lado, as regras estabelecidas não são incompatíveis com quaisquer acordos internacionais subscritos pelos Estados Unidos. Os Estados Unidos são um país democrático que respeita os princípios do Estado de Direito e com uma tradição arreigada de liberdades civis. A legitimidade do seu processo legislativo e a força e a independência do seu sistema judicial não estão em causa. A liberdade de imprensa é uma garantia suplementar contra o abuso das liberdades civis.
(8)
A Comunidade Europeia está plenamente empenhada em apoiar a luta dos Estados Unidos contra o terrorismo, dentro dos limites impostos pelo direito comunitário. O direito comunitário permite estabelecer o equilíbrio necessário entre as exigências de segurança e o respeito da vida privada. Nomeadamente, o artigo 13.o da Directiva 95/46/CE prevê que os Estados Membros possam tomar medidas legislativas destinadas a restringir o alcance de certas normas da referida directiva, sempre que tal restrição constitua uma medida necessária à protecção da segurança do Estado, da defesa, da segurança pública e da prevenção, investigação, detecção e repressão de infracções penais.
(9)
As transferências de dados em questão envolvem responsáveis específicos pelo tratamento desses dados, nomeadamente companhias aéreas que efectuam voos entre a Comunidade Europeia e os Estados Unidos e apenas um destinatário nos EUA, designadamente o CBP.
(10)
Qualquer acordo no sentido de criar um quadro legal para as transferências de PNR para os EUA, em particular através desta decisão, deve ser limitado no tempo. Ficou acordado um período de três anos e seis meses. Durante esse período, o contexto pode alterar-se significativamente, pelo que a Comunidade e os Estados Unidos concordam que será necessária uma revisão do acordo.
(11)
O tratamento, pelo CBP, de dados pessoais contidos nos PNR de passageiros aéreos transferidos para esta entidade é regido pelos termos da declaração de compromisso do Bureau of Customs and Border Protection (CBP) do Department of Homeland Security de 11 de Maio de 2004 (doravante «a declaração de compromisso») e na legislação nacional norte-americana, tal como indicado na declaração.
(12)
Quanto à legislação nacional dos EUA, a lei relativa à liberdade de informação (Freedom of Information Act, ou FOIA) é determinante no presente contexto, na medida em que rege as condições em que o CBP pode recusar pedidos de divulgação e, consequentemente, manter os PNR confidenciais, e rege também a divulgação de PNR à pessoa a quem este diz respeito (titular dos dados), em estreita ligação com o direito de acesso aos dados desse titular. A lei FOIA aplica se sem distinção aos cidadãos dos Estados Unidos e a outros.
(13)
Quanto à declaração de compromisso, e tal como previsto especificamente no seu n.o 44, o disposto na declaração será - ou já foi - incorporado em leis, regulamentos, directivas ou outros instrumentos de política dos Estados Unidos, adquirindo assim, em graus variáveis, força de lei. A declaração de compromisso será publicada na íntegra no Federal Register sob a autoridade do DHS. Como tal, esta declaração representa um compromisso político sério e ponderado por parte do DHS e o seu cumprimento será objecto de uma revisão conjunta pelos EUA e pela Comunidade Europeia. O não cumprimento pode ser adequadamente combatido pela vias legais, administrativas e políticas e, se for continuado, poderá dar azo à suspensão dos efeitos da presente decisão.
(14)
As normas pelas quais o CBP se rege para tratar os dados dos PNR dos passageiros com base na legislação-norte americana e na declaração de compromisso abrangem os princípios básicos necessários a um nível adequado de protecção das pessoas singulares.
(15)
Quanto ao princípio da limitação do objectivo, o CBP tratará os dados pessoais contidos nos PNR de passageiros aéreos transmitidos ao CBP com um objectivo específico e, consequentemente, utilizá-los-á ou comunicá-los á-a terceiros apenas se tal não foi incompatível com o objectivo da transmissão. Em especial, os dados dos PNR serão utilizados estritamente para impedir e combater o terrorismo e crimes conexos; outros crimes graves, incluindo o crime organizado, que são, por natureza, transnacionais; e a fuga a mandados judiciais ou à detenção pelos crimes atrás descritos.
(16)
Quanto à qualidade dos dados e ao princípio da proporcionalidade, que tem de ser considerado em relação com os importantes motivos de interesse público pelos quais os dados dos PNR são transmitidos, os dados fornecidos ao CBP não serão posteriormente alterados por este organismo. Será transferido um máximo de 34 categorias de dados do PNR, e as autoridades dos Estados Unidos consultarão a Comissão antes de introduzir novas regras. Quaisquer informações pessoais adicionais pedidas como resultado directo dos dados dos PNR serão obtidas de fontes não estatais e apenas pelas vias legais. Regra geral, o PNR será apagado após um período máximo de três anos e seis meses, com excepção dos dados consultados para efeitos de investigações específicas ou manualmente.
(17)
Quanto ao princípio da transparência, o CBP fornecerá informação aos passageiros quanto ao objectivo da transferência e do tratamento, bem como à identidade do controlador dos dados no país terceiro, além de outras informações.
(18)
Quanto ao princípio da segurança, o CBP tomará as medidas de segurança de carácter técnico e organizacional adequada aos riscos que o tratamento dos dados representa.
(19)
Os direitos de acesso e rectificação são reconhecidos, na medida em que o titular dos dados pode requerer uma cópia do PNR e a rectificação dos dados inexactos. As excepções previstas são largamente comparáveis com as restrições que podem ser impostas pelos Estados-Membros ao abrigo do artigo 13.o da directiva 95/46/CE.
(20)
As transferências subsequentes para outras autoridades estatais - incluindo estrangeiras - com funções de combate ao terrorismo ou de aplicação da lei serão efectuadas, caso a caso, para fins que correspondam aos definidos na declaração relativa à limitação do objectivo. As transferências podem ainda efectuar-se para a protecção do interesse vital do titular dos dados ou de outras pessoas, designadamente no que diz respeito aos riscos importantes para a saúde, ou no âmbito de qualquer procedimento criminal ou de qualquer outra forma exigida pela lei. Os organismos que recebam os dados estão obrigados, em virtude das condições expressas de divulgação, a utilizar os dados unicamente para os fins previstos, não podendo transferi-los subsequentemente sem o acordo do CBP. Nenhum outro organismo estrangeiro, federal, estatal ou local dispõe de acesso electrónico directo aos dados dos PNR através das bases de dados do CBP. Este recusará a divulgação ao público de dados dos PNR, com base nas excepções previstas nas disposições pertinentes da lei FOIA.
(21)
O CBP não utiliza dados sensíveis referidos no artigo 8.o da Directiva 95/46/CE e, até que seja concretizado um sistema de filtros destinado a excluir esses dados dos PNR transferidos para os EUA, compromete-se a introduzir os meios necessários para os apagar e, entretanto, a não os utilizar.
(22)
Quanto aos mecanismos de aplicação da lei destinados a garantir o cumprimento, pelo CBP, destes princípios, estão previstas acções de formação e informação do pessoal deste organismo, bem como sanções a aplicar aos seus membros individuais. O respeito pela privacidade em geral por parte do CBP será fiscalizado pelo Chief Privacy Officer do DHS, que é um funcionário deste ministério mas tem bastante autonomia e é obrigado a apresentar relatórios anuais ao Congresso. As pessoas cujos dados do PNR tenham sido transferidos podem remeter as suas queixas para o CBP, ou, se estas não tiverem sido resolvidas, para o Chief Privacy Officer do DHS, directamente ou através das autoridades responsáveis pela protecção dos dados (APD) dos Estados-Membros. O Privacy Office do DHS examinará com urgência as queixas que lhe tenham sido apresentadas pelas APD dos Estados-Membros em nome de residentes da Comunidade, nos casos em que se o residente considere que a sua queixa não foi satisfatoriamente resolvida pelo CBP ou pelo Privacy Office do DHS. O cumprimento da declaração de compromisso será objecto de uma revisão conjunta anual, efectuada pelo CBP, conjuntamente com o DHS, e por uma equipa liderada pela Comissão.
(23)
No interesse da transparência e a fim de salvaguardar a capacidade de as autoridades competentes dos Estados-Membros assegurarem a protecção das pessoas no que diz respeito ao tratamento dos seus dados pessoais, é necessário especificar as circunstâncias excepcionais em que a suspensão de transferências concretas de dados se pode justificar, mesmo que se verifique um nível de protecção adequado.
(24)
O grupo de trabalho «Protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais», criado pelo artigo 29.o da Directiva 95/46/CE, emitiu pareceres sobre o nível de protecção previsto pelas autoridades dos Estados Unidos para os dados dos passageiros, os quais guiaram a Comissão ao longo da negociação com o DHS. A Comissão tomou em consideração estes pareceres na preparação da presente decisão (4).
(25)
As medidas previstas na presente decisão são conformes com o parecer do comité criado pelo n.o 1 do artigo 31.o da Directiva 95/46/CE,
ADOPTOU A PRESENTE DECISÃO:
Artigo 1.o
Para efeitos do n.o 2 do artigo 25.o da Directiva 95/46/CE, considera se que o Bureau of Customs and Border Protection (CBP) dos Estados Unidos assegura um nível adequado de protecção dos dados dos PNR transferidos a partir da Comunidade no que diz respeito a voos com destino a ou provenientes dos Estados Unidos, em conformidade com a declaração de compromisso que figura no anexo I.
Artigo 2.o
A presente decisão diz respeito ao nível adequado de protecção assegurado pelo CBP, a fim de dar cumprimento ao disposto no n.o 1 do artigo 25.o da Directiva 95/46/CE, e não afecta outras condições ou restrições à aplicação de outras disposições da referida directiva relativas ao tratamento de dados pessoais nos Estados Membros.
Artigo 3.o
1. Sem prejuízo dos poderes das autoridades competentes dos Estados-Membros no que se refere à adopção de medidas para garantir o respeito das disposições nacionais adoptadas por força de outras disposições para além das previstas no artigo 25.o da Directiva 95/46/CE, as referidas autoridades podem exercer os poderes de que dispõem para suspender a transferência de dados para o CBP, a fim de proteger as pessoas no que respeita ao tratamento dos seus dados pessoais, sempre que:
a)
A autoridade norte-americana competente verificar que o CBP desrespeita as normas de protecção aplicáveis; ou
b)
Seja altamente provável que as normas de protecção constantes do anexo I não estão a ser cumpridas, existam motivos suficientes para crer que o CBP não toma ou não tomará as decisões adequadas na altura devida para resolver o caso em questão, a continuação da transferência dos dados implique o risco iminente de causar graves prejuízos às pessoas em causa e as autoridades competentes dos Estados-Membros tenham envidado esforços razoáveis, dadas as circunstâncias, para facultar ao CBP informação e oportunidade para responder.
2. A suspensão cessará assim que o respeito das normas de protecção estiver assegurado e a autoridade competente do Estado-Membro em questão seja disso informada.
Artigo 4.o
1. Os Estados-Membros devem informar imediatamente a Comissão da adopção de medidas ao abrigo do artigo 3.o
2. Os Estados-Membros e a Comissão devem ainda manter-se mutuamente informados de qualquer alteração nas normas de protecção e dos casos em que os organismos responsáveis por assegurar o cumprimento das normas de protecção constantes do anexo I pelo CBP não assegurem convenientemente esse mesmo cumprimento.
3. Se a informação recolhida nos termos do artigo 3.o e dos n.os 1 e 2 do presente artigo demonstrar que os princípios básicos necessários a um nível adequado de protecção das pessoas singulares não estão a ser respeitados, ou que os organismos responsáveis por assegurar o cumprimento das normas de protecção pelo CBP não desempenham eficazmente as suas funções, o CBP deverá ser informado e, se necessário, o procedimento referido no n.o 2 do artigo 31.o da Directiva 95/46/CE será aplicado, com vista a revogar ou suspender a presente decisão.
Artigo 5.o
A aplicação da presente decisão será objecto de vigilância e quaisquer conclusões pertinentes serão comunicadas ao comité criado pelo artigo 31.o da Directiva 95/46/CE, nomeadamente todas as provas que possam afectar a afirmação do artigo 1.o da presente decisão, segundo a qual o nível de protecção dos dados pessoais contidos nos PNR dos passageiros transferidos para o CBP é adequado, nos termos do artigo 25.o da Directiva 95/46/CE.
Artigo 6.o
Os Estados-Membros tomarão todas as medidas necessárias para darem cumprimento à presente decisão no prazo de quatro meses a contar da data da sua notificação.
Artigo 7.o
A presente decisão expira três anos e seis meses após a data da sua notificação, a menos que seja prorrogada nos termos do procedimento estabelecido no n.o 2 do artigo 31.o da Directiva 95/46/CE.
Artigo 8.o
Os Estados-Membros são os destinatários da presente decisão.
Feito em Bruxelas, em 14 de Maio de 2004.