ROZHODNUTÍ KOMISE
ze dne 14. května 2004
o odpovídající úrovni ochrany osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají Úřadu USA pro cla a ochranu hranic
(oznámeno pod číslem K(2004) 1914)
(Text s významem pro EHP)
(2004/535/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 této směrnice,
vzhledem k těmto důvodům:
(1)
Směrnice 95/46/ES vyžaduje, aby členské státy stanovily, že k předávání osobních údajů do třetí země může dojít pouze tehdy, pokud dotyčná třetí země zajistí odpovídající úroveň ochrany a pokud jsou před předáním údajů dodrženy právní předpisy členských států provádějící ostatní ustanovení uvedené směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů vyhodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů se zvláštním přihlédnutím k řadě skutečností, které pro ně mají význam a jsou vyjmenovány v čl. 25 odst. 2 uvedené směrnice.
(4)
V rámci letecké dopravy se „záznamem o knihování cestujícího“ (Passenger Name Record - dále jen „PNR“) rozumí záznam o cestovních požadavcích každého cestujícího obsahující veškeré informace, jež jsou nezbytné ke zpracování a kontrole rezervací prováděné rezervačními a zúčastněnými leteckými společnostmi. Pro účely tohoto rozhodnutí zahrnuje výraz „cestující“ členy posádky. „Rezervační leteckou společností“ se rozumí letecká společnost, u níž cestující provedl původní rezervaci nebo dodatečné rezervace po zahájení své cesty. „Zúčastněnou leteckou společností“ se rozumí kterákoli letecká společnost, u níž rezervační letecká společnost požádala o zajištění místa pro cestujícího na jednom nebo více letech.
(5)
Úřad USA pro cla a ochranu hranic (United States Bureau of Customs and Border Protection - dále jen „CBP“) Ministerstva pro vnitřní bezpečnost (Department of Homeland Security - dále jen „DHS“) vyžaduje, aby mu každý letecký dopravce provozující mezinárodní osobní lety z USA nebo do USA poskytl elektronický přístup k PNR v rozsahu, v němž je tento PNR získán a obsažen v počítačovém rezervačním systému daného leteckého dopravce.
(6)
Požadavky na osobní údaje obsažené v PNR leteckého cestujícího, který má být předán CBP, vyplývají ze zákona, který USA přijaly v listopadu 2001 (2), a z prováděcích předpisů, které CBP přijal podle daného zákona (3).
(7)
Dotyčné právní předpisy USA se týkají posílení bezpečnosti a podmínek, za nichž mohou fyzické osoby vstupovat do země a opouštět ji, tedy záležitostí, o nichž mají USA pravomoc rozhodovat v rámci uplatnění své svrchovanosti. Kromě toho nejsou stanovené požadavky neslučitelné s jakýmikoli mezinárodními závazky, které USA přijaly. USA jsou demokratickým právním státem se silnou tradicí občanských svobod. O legitimitě jejich zákonodárného procesu a síle a nezávislosti jejich soudní moci není pochyb. Další silnou zárukou proti porušování občanských svobod je svoboda tisku.
(8)
Společenství je plně odhodláno podporovat USA v boji proti terorismu v mezích uložených právem Společenství. Právo Společenství vyžaduje dosažení rovnováhy mezi bezpečnostními požadavky a požadavky na soukromí. Například článek 13 směrnice 95/46/ES stanoví, že členské státy mohou přijmout legislativní opatření s cílem omezit některé požadavky uvedené směrnice v rozsahu nezbytném k zajištění bezpečnosti státu, obrany, veřejné bezpečnosti, předcházení trestným činům a jejich vyšetřování, odhalování a stíhání.
(9)
Do předávání dotyčných údajů jsou zapojeni zvláštní správci, jmenovitě letecké společnosti, které provozují lety mezi Společenstvím a USA, a pouze jeden příjemce v USA, jmenovitě CBP.
(10)
Jakékoli ujednání týkající se vytvoření právního rámce pro předávání PNR do USA, zejména prostřednictvím tohoto rozhodnutí, by mělo být časově omezeno. Bylo proto dohodnuto období tři a půl roku. Během tohoto období může dojít k výrazné změně situace a Společenství i USA se shodují, že bude nutné ujednání přezkoumat.
(11)
Zpracování osobních údajů obsažených v PNR leteckých cestujících úřadem CBP se řídí podmínkami stanovenými v Závazném prohlášení Úřadu pro cla a ochranu hranic Ministerstva pro vnitřní bezpečnost (CBP) ze dne 11. května 2004 (dále jen „závazné prohlášení“) a ve vnitrostátních právních předpisech USA v rozsahu uvedeném v závazném prohlášení.
(12)
Ve vnitrostátním právu USA má v této souvislosti význam zákon o svobodě informací (Freedom of Information Act - FOIA) v míře, v níž upravuje podmínky, za nichž může CBP odmítnout žádosti o zpřístupnění a zachovat důvěrnost PNR. Uvedený zákon upravuje poskytování PNR osobě, jíž se týká, což je úzce spojeno s právem subjektu údajů na přístup k údajům. Vztahuje se bez rozdílu na občany USA i cizince.
(13)
Ustanovení závazného prohlášení budou nebo již jsou v USA začleněna na základě jeho odstavce 44 do zákonů, nařízení, směrnic nebo jiných politických nástrojů, a proto budou mít nebo již mají různé stupně právní síly. Úplné znění závazného prohlášení bude na základě pravomoci DHS zveřejněno ve Federálním rejstříku. Jako takové představuje ze strany DHS vážný a dobře uvážený politický závazek a jeho plnění bude podléhat společnému přezkumu ze strany USA a Společenství. Proti neplnění by bylo možné postupovat příslušnými právními, administrativními a politickými cestami a v případě přetrvávajícího neplnění by došlo k pozastavení účinků tohoto rozhodnutí.
(14)
Normy, podle nichž bude CBP zpracovávat údaje obsažené v PNR cestujících na základě právních předpisů USA a závazného prohlášení, obsahují základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob.
(15)
Pokud jde o zásadu účelového omezení, budou osobní údaje leteckých cestujících obsažené v PNR předaném CBP zpracovány pro zvláštní účel a dále využity nebo sděleny pouze v tom rozsahu, který není neslučitelný s účely předání. Obzvláště pak budou údaje obsažené v PNR využity výhradně pro účely předcházení a potírání terorismu a související trestné činnosti, jiných závažných trestných činů nadnárodní povahy včetně organizovaného zločinu a útěku před zatykačem nebo soudní vazbou pro tyto trestné činy.
(16)
Pokud jde o zásadu kvality údajů a přiměřenosti, kterou je třeba vzít v úvahu ve vztahu k závažným důvodům veřejného zájmu, kvůli nimž se údaje PNR předávají, nebude CBP následně měnit údaje obsažené v PNR, který mu byl poskytnut. Bude se předávat maximálně 34 kategorií údajů PNR a orgány USA budou konzultovat Komisi dříve, než se rozhodnou přidat jakékoli nové požadavky. Dodatečné osobní informace, které budou vyhledávány v důsledku údajů obsažených v PNR, budou získávány z mimovládních zdrojů pouze zákonnými cestami. Obecně platí, že PNR bude po nejvýše třech letech a šesti měsících vymazán s výjimkou údajů, které byly vyhledány z důvodů zvláštního vyšetřování nebo jinak ručně vyhledány.
(17)
Pokud jde o zásadu transparentnosti, poskytne CBP cestujícím informace o účelu předávání a zpracování, o totožnosti správce údajů ve třetí zemi a další informace.
(18)
Pokud jde o zásadu bezpečnosti, přijme CBP taková technická a organizační opatření, která jsou přiměřená rizikům, jež obnáší zpracování.
(19)
Jsou uznána práva na přístup a opravu v té podobě, že si subjekt údajů může vyžádat kopii údajů PNR a požadovat opravu nepřesných údajů. Předpokládané výjimky jsou vesměs srovnatelné s omezeními, která mohou členské státy zavést podle článku 13 směrnice 95/46/ES.
(20)
Údaje lze v jednotlivých případech dále předat jiným vládním orgánům odpovědným za boj proti terorismu nebo za výkon veřejné moci, včetně orgánů zahraničních vlád, pro účely, které odpovídají účelům vymezeným v ustanovení o účelovém omezení. Údaje mohou být také předány z důvodů ochrany životně důležitých zájmů subjektu údajů nebo jiných osob, zejména pokud jde o závažná zdravotní rizika nebo o zájmy v jakémkoli trestním soudním řízení, nebo je-li tak jinak vyžadováno ze zákona. Přijímající úřady jsou podle výslovných podmínek zpřístupnění povinny využít údaje pouze k těmto účelům a nepředávat údaje dále bez souhlasu CBP. Do databáze CBP nemá přímý elektronický přístup žádný jiný zahraniční, federální, státní nebo místní úřad. CBP odmítne veřejné zpřístupnění PNR na základě výjimek z příslušných ustanovení zákona o svobodě informací.
(21)
CBP nevyužije citlivé údaje ve smyslu článku 8 směrnice 95/46/ES a zavazuje se, že dokud nebude fungovat systém filtrů na vyřazení takových údajů z PNR předávaných do USA, zavede prostředky na jejich vymazání a nebude je využívat.
(22)
Pokud jde o mechanismus, který má zajistit dodržování těchto zásad ze strany CBP, je zajištěno školení a informování zaměstnanců CBP a jsou stanoveny postihy pro jednotlivé zaměstnance. Zachování soukromí ze strany CBP bude obecně pod kontrolou vedoucího Úřadu na ochranu soukromí DHS (DHS Chief Privacy Officer), který je sice úředníkem DHS, ale je do velké míry organizačně samostatný a musí každý rok předkládat zprávu Kongresu. Osoby, jejichž údaje PNR byly předány, mohou zasílat své stížnosti CBP nebo, pokud jim nebude vyhověno, vedoucímu Úřadu na ochranu soukromí DHS, a to buď přímo, nebo prostřednictvím úřadů na ochranu údajů v členských státech. Úřad pro ochranu soukromí DHS (DHS Privacy Office) bude urychleně vyřizovat stížnosti, které mu předají úřady na ochranu údajů v členských státech jménem osob, které mají pobyt ve Společenství, pokud se tyto osoby domnívají, že CBP nebo Úřad na ochranu soukromí DHS jejich stížnost nevyřídily uspokojivě. Dodržování závazného prohlášení bude společně přezkoumáno CBP spolu s DHS a skupinou vedenou Komisí.
(23)
V zájmu transparentnosti a s cílem zachovat schopnost příslušných orgánů v členských státech zajistit ochranu jednotlivců, pokud jde o zpracování jejich osobních údajů, je nutné upřesnit výjimečné okolnosti, za nichž je možné odůvodnit pozastavení konkrétních toků údajů nezávisle na tom, zda úroveň ochrany byla shledána jako odpovídající.
(24)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, která byla zřízena podle článku 29 směrnice 95/46/ES, vydala stanoviska o úrovni ochrany poskytované údajům cestujících ze strany orgánů USA, jimiž se Komise řídila při jednání s DHS. Komise vzala tato stanoviska na vědomí při přípravě tohoto rozhodnutí (4).
(25)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Pro účely čl. 25 odst. 2 směrnice 95/46/ES se má za to, že Úřad USA pro cla a ochranu hranic (United States’ Bureau of Customs and Border Protection - dále jen „CBP“) zajišťuje odpovídající úroveň ochrany údajů PNR předávaných ze Společenství v souvislosti s lety do USA nebo z USA v souladu se závazným prohlášením uvedeným v příloze.
Článek 2
Toto rozhodnutí se týká odpovídající úrovně ochrany poskytované úřadem CBP v souvislosti s plněním požadavků čl. 25 odst. 1 směrnice 95/46/ES a nemá vliv na ostatní podmínky nebo omezení, jimiž se provádějí jiná ustanovení uvedené směrnice související se zpracováním osobních údajů v členských státech.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států činit kroky na zajištění souladu s vnitrostátními předpisy přijatými podle jiných ustanovení než článku 25 směrnice 95/46/ES, mohou příslušné orgány členských států využít svou stávající pravomoc pozastavit tok údajů do CBP s cílem ochránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v následujících případech:
a)
pokud příslušný orgán USA stanovil, že CBP porušuje platné normy ochrany, nebo
b)
pokud existuje vysoká pravděpodobnost, že jsou porušovány normy ochrany stanovené v příloze, existují rozumné důvody k domněnce, že CBP nečiní nebo neučiní přiměřené a včasné kroky na vyřešení daného případu, pokračující předávání by vytvořilo bezprostřední nebezpečí vážné újmy subjektu údajů a příslušné orgány členského státu vynaložily v dané situaci rozumné úsilí na doručení upozornění CBP a poskytly mu příležitost k reakci.
2. Pozastavení skončí, jakmile bude zajištěno dodržování norem ochrany a toto bude oznámeno příslušným orgánům dotyčného členského státu.
Článek 4
1. Členské státy neprodleně informují Komisi, když přijmou opatření podle článku 3.
2. Členské státy a Komise se vzájemně informují o jakýchkoli změnách norem ochrany a o případech, v nichž činnost odpovědných orgánů nezajistila dodržování norem ochrany ze strany CBP v souladu s přílohou.
3. Jestliže informace získané podle článku 3 a podle odstavců 1 a 2 tohoto článku poskytnou skutečnosti prokazující, že přestaly být dodržovány základní zásady nutné pro odpovídající úroveň ochrany fyzických osob nebo že jakýkoli orgán odpovědný za zajišťování dodržování norem ochrany ze strany CBP v souladu s přílohou neplní účinně svou úlohu, bude o tom CBP informován a v případě potřeby se použije postup uvedený v čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit nebo pozastavit toto rozhodnutí.
Článek 5
Fungování tohoto rozhodnutí bude sledováno a jakákoli související zjištění budou oznámena výboru zřízenému podle článku 31 směrnice 95/46/ES včetně jakýchkoli průkazných skutečností, které by mohly ovlivnit závěr uvedený v článku 1 tohoto rozhodnutí, podle něhož je ochrana osobních údajů obsažených v PNR leteckých cestujících, které se předávají CPB, odpovídající ve smyslu článku 25 směrnice 95/46/ES.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do čtyř měsíců od data jeho oznámení.
Článek 7
Použitelnost tohoto rozhodnutí skončí tři roky a šest měsíců po datu jeho oznámení, pokud nebude prodlouženo v souladu s postupem stanoveným v čl. 31 odst. 2 směrnice 95/46/ES.
Článek 8
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 14. května 2004.
DÉCISION DE LA COMMISSION
du 14 mai 2004
relative au niveau de protection adéquat des données à caractère personnel contenues dans les dossiers des passagers aériens transférés au Bureau des douanes et de la protection des frontières des États-Unis d'Amérique
[notifiée sous le numéro C(2004) 1914]
(Texte présentant de l'intérêt pour l'EEE)
(2004/535/CE)
LA COMMISSION DES COMMUNAUTÉS EUROPÉENNES,
vu le traité instituant la Communauté européenne,
vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (1), et notamment son article 25, paragraphe 6,
considérant ce qui suit:
(1)
En vertu de la directive 95/46/CE, les États membres prévoient que le transfert de données à caractère personnel vers un pays tiers ne peut être effectué que si le pays tiers en question assure un niveau de protection adéquat et si les lois nationales de mise en application d'autres dispositions de la directive sont respectées avant le transfert.
(2)
La Commission peut constater qu'un pays tiers assure un niveau de protection adéquat. Sur la base de ce constat, des données à caractère personnel peuvent être transférées à partir des États membres sans qu'aucune garantie supplémentaire ne soit nécessaire.
(3)
En vertu de la directive 95/46/CE, le niveau de protection des données est apprécié au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données et par rapport à certaines conditions, énumérées à son article 25, paragraphe 2.
(4)
Dans le cadre des transports aériens, le dossier passager (Passenger Name Record, ci-après dénommé le «PNR») est un fichier contenant les renseignements relatifs au voyage de chaque passager. Il renferme toutes les informations nécessaires au traitement et au contrôle des réservations par les compagnies aériennes contractantes ou partenaires. Aux fins de la présente décision, les termes «passager» et «passagers» incluent les «membres de l'équipage». «Compagnie aérienne contractante» signifie la compagnie auprès de laquelle le passager a réalisé sa première réservation ou auprès de laquelle des réservations additionnelles ont été réalisées après le commencement du voyage. «Compagnie aérienne partenaire» signifie toute compagnie aérienne auprès de laquelle la compagnie aérienne contractante a sollicité une place, sur un ou plusieurs de ses vols, pour un passager.
(5)
Le Bureau des douanes et de la protection des frontières des États-Unis (United States Bureau of Customs and Border Protection, ci-après dénommé le «CBP») du ministère de la sécurité intérieure (Department of Homeland Security) exige de toutes les compagnies aériennes assurant un service international de transport de passagers à destination ou au départ des États-Unis qu'elles lui fournissent un accès électronique aux dossiers PNR recueillis et stockés dans leurs systèmes informatisés de réservation.
(6)
Les exigences de transfert des données à caractère personnel contenues dans les PNR des passagers aériens vers le CBP se fondent sur une loi promulguée par les États-Unis en novembre 2001 (2) et sur des règlements de mise en œuvre adoptés par le CBP en vertu de cette loi (3).
(7)
La législation américaine en question concerne le renforcement de la sécurité ainsi que les conditions d'entrée aux États-Unis et de sortie dudit pays. Sur ces points, les États-Unis ont un pouvoir de décision souverain dans le cadre de leur juridiction. Par ailleurs, les exigences ne sont pas contraires à leurs autres engagements internationaux. Les États-Unis sont un pays démocratique, gouverné par des principes de droit et doté d'une solide tradition en matière de libertés civiques. La légitimité de leur processus législatif ainsi que la force et l'indépendance de leur appareil judiciaire ne sont pas mises en question. La liberté de la presse constitue une autre garantie solide contre toute violation des libertés civiques.
(8)
La Communauté soutient entièrement les États-Unis dans leur lutte contre le terrorisme, dans les limites imposées par le droit de la Communauté. La législation communautaire prévoit un dispositif qui permet d'établir un équilibre entre les exigences de sécurité et la sauvegarde de la vie privée. Par exemple, l'article 13 de la directive 95/46/CE permet aux États membres de prendre des mesures législatives visant à limiter la portée d'autres exigences visées dans la directive lorsqu'une telle limitation constitue une mesure nécessaire pour sauvegarder la sûreté de l'État, la défense, la sécurité publique ainsi que la prévention, la recherche, la détection et la poursuite d'infractions pénales.
(9)
Les transferts de données concernent des responsables du traitement spécifiques, à savoir les compagnies aériennes assurant des liaisons entre la Communauté et les États-Unis et un seul destinataire aux États-Unis, à savoir le CBP.
(10)
Tout arrangement visant à établir un cadre réglementaire pour les transferts de PNR aux États-Unis, notamment par le biais de la présente décision, doit être limité dans le temps. Une période de trois ans et demi a été convenue. Au cours de ce laps de temps, le contexte peut considérablement changer et la Communauté et les États-Unis conviennent qu'une révision des arrangements sera nécessaire.
(11)
Le traitement par le CBP des données à caractère personnel contenues dans les PNR des passagers aériens qui lui sont transférés est régi par les dispositions figurant dans la «Déclaration d'engagement du Bureau des douanes et de la protection des frontières du ministère de la sécurité intérieure du 11 mai 2004» (ci-après dénommée «la déclaration d'engagement») et par la législation américaine dans les conditions prévues par la déclaration d'engagement.
(12)
S'agissant de la législation américaine, la loi sur la liberté de l'information (Freedom of Information Act) est déterminante dans le contexte actuel dans la mesure où elle règle les conditions dans lesquelles le CBP peut s'opposer à des demandes de divulgation et traiter ainsi les PNR de manière confidentielle. Elle réglemente en outre la divulgation des PNR aux personnes concernées, qui est étroitement liée au droit d'accès dont celles-ci disposent. La loi sur la liberté de l'information s'applique sans distinction aux citoyens américains et étrangers.
(13)
En ce qui concerne la déclaration d'engagement, et conformément à ce que prévoit son paragraphe 44, les dispositions de la déclaration d'engagement seront ou sont déjà incluses dans les textes de lois, règlements, directives ou autres instruments de politique des États-Unis et ont donc un effet juridique à des degrés divers. La déclaration d'engagement est publiée dans son intégralité dans le registre fédéral, sous la responsabilité du ministère de la sécurité intérieure. Elle représente donc un engagement politique sérieux et réfléchi de la part dudit ministère et son respect est contrôlé conjointement par les États-Unis et la Communauté. Les manquements peuvent être combattus le cas échéant par des moyens juridiques, administratifs et politiques. Leur répétition entraîne la suspension des effets de la présente décision.
(14)
Les normes en vertu desquelles le CBP traite les données PNR des passagers sur la base de la législation américaine et de la déclaration d'engagement respectent les principes essentiels nécessaires pour assurer un niveau de protection adéquat des personnes physiques.
(15)
En ce qui concerne le principe de limitation à une finalité spécifique, les données à caractère personnel des passagers aériens contenues dans les PNR qui sont transférés au CBP doivent être traitées dans un but spécifique et n'être utilisées ou communiquées ultérieurement que dans la mesure où cela n'est pas incompatible avec la finalité du transfert. En particulier, les données des PNR doivent être utilisées dans le but unique de prévenir et de combattre le terrorisme et les crimes liés au terrorisme, d'autres crimes graves, y compris la criminalité organisée, qui, par nature, revêtent un caractère transnational et la fuite en cas de mandat d'arrêt ou de mise en détention pour l'un des crimes susmentionnés.
(16)
En ce qui concerne la qualité des données et le principe de proportionnalité, qui doivent être considérés conjointement avec les motifs d'intérêt public importants justifiant le transfert des données des PNR, les données fournies au CBP ne doivent pas être ultérieurement modifiées par ce dernier. Un maximum de trente-quatre catégories de données des PNR sont transférées et les autorités américaines sont tenues de consulter la Commission avant l'ajout de toute nouvelle exigence. Les informations personnelles supplémentaires recherchées par suite directe de l'examen de données de PNR sont obtenues de sources non gouvernementales, uniquement par des moyens légaux. En règle générale, les PNR sont effacés après une période maximale fixée à trois ans et six mois, à l'exception des données consultées dans le cadre d'investigations spécifiques ou bien manuellement.
(17)
En ce qui concerne le principe de transparence, le CBP informe les voyageurs sur la finalité du transfert et du traitement et leur fournit l'identité du responsable du traitement des données dans le pays tiers ainsi que d'autres renseignements.
(18)
En ce qui concerne le principe de sécurité, le CBP prend les mesures de sécurité techniques et organisationnelles appropriées aux risques présentés par le traitement.
(19)
Les droits d'accès et de rectification sont reconnus, dans la mesure où les personnes concernées peuvent demander une copie de leurs données PNR ainsi qu'une rectification des données inexactes. Les exceptions prévues sont dans l'ensemble comparables aux restrictions qui peuvent être imposées par un État membre au titre de l'article 13 de la directive 95/46/CE.
(20)
Les transferts ultérieurs sont effectués, au cas par cas, vers d'autres agences gouvernementales, y compris les agences gouvernementales étrangères, chargées de la lutte contre le terrorisme ou de l'application de la loi, à des finalités correspondant à celles établies dans la déclaration de limitation de l'objectif. Des transferts pourront également être effectués pour la protection des intérêts vitaux de la personne concernée ou d'autres personnes, notamment en cas de risques sanitaires importants, ou dans le cadre d'une procédure pénale ou au titre d'autres exigences prévues par la loi. Ces agences doivent, en vertu des conditions expresses de diffusion, employer les données uniquement aux fins prévues et ne pas procéder à un transfert ultérieur sans l'accord du CBP. Aucune autre agence étrangère, fédérale, étatique ou locale ne dispose d'un accès électronique direct aux données de PNR via les bases de données du CBP. Le CBP s'oppose à la divulgation publique des PNR en vertu des exemptions prévues par les dispositions pertinentes de la loi sur la liberté de l'information.
(21)
Le CBP n'utilise pas de données sensibles au sens de l'article 8 de la directive 95/46/CE et, en attendant la mise en place d'un système de filtrage permettant d'exclure de telles données des PNR transférés, il s'engage à mettre en œuvre les moyens de les effacer et de ne pas les utiliser dans l'intervalle.
(22)
En ce qui concerne les mécanismes de mise en œuvre visant à garantir le respect de ces principes par le CBP, il est prévu un système de formation et d'information du personnel du CBP, ainsi que de sanctions pour les membres individuels dudit personnel. Le haut responsable de la protection de la vie privée (Chief Privacy Officer) auprès du ministère de la sécurité intérieure veille au respect par le CBP de la vie privée en général. Bien que fonctionnaire du ministère, il dispose d'une large autonomie organisationnelle et doit rendre compte chaque année au Congrès. Les personnes dont les données PNR ont été transférées peuvent adresser leurs plaintes au CBP ou, si elles ne sont pas résolues, au haut responsable de la protection de la vie privée auprès du ministère de la sécurité intérieure, soit directement, soit par le biais des autorités chargées de la protection des données dans les États membres. Le Bureau de la protection de la vie privée du ministère de la sécurité intérieure examine en urgence les plaintes qui lui sont transmises par les autorités chargées de la protection des données dans les États membres au nom des résidents de la Communauté, si ceux-ci estiment que leurs plaintes n'ont pas été traitées de façon satisfaisante par le CBP ou le Bureau de la protection de la vie privée du ministère de la sécurité intérieure. Le respect de la déclaration d'engagement fait l'objet d'un examen annuel mené par le CBP, en conjonction avec ledit ministère, et une équipe dirigée par la Commission.
(23)
Afin de contribuer à la transparence et en vue de garantir la capacité des autorités compétentes au sein des États membres d'assurer la protection des personnes physiques à l'égard du traitement de leurs données à caractère personnel, il convient de préciser les circonstances exceptionnelles dans lesquelles la suspension de flux particuliers de données peut être justifiée, indépendamment de la constatation du niveau de protection adéquat.
(24)
Le groupe de protection des personnes à l'égard du traitement des données à caractère personnel, institué par l'article 29 de la directive 95/46/CE, a rendu plusieurs avis sur le niveau de protection assuré par les autorités américaines en ce qui concerne les données PNR. Ces avis ont guidé la Commission au cours de ses négociations avec le ministère de la sécurité intérieure. La Commission a pris note de ces avis lors de l'élaboration de la présente décision (4).
(25)
Les mesures prévues par la présente décision sont conformes à l'avis du comité institué par l'article 31, paragraphe 1, de la directive 95/46/CE,
A ARRÊTÉ LA PRÉSENTE DÉCISION:
Article premier
Aux fins de l'article 25, paragraphe 2, de la directive 95/46/CE, le Bureau des douanes et de la protection des frontières des États-Unis (ci-après le «CBP») est considéré comme assurant un niveau de protection adéquat des données de dossiers passagers (ci-après dénommés les «PNR») transférées depuis la Communauté en ce qui concerne les vols à destination ou au départ des États-Unis, conformément à la déclaration d'engagement figurant en annexe.
Article 2
La présente décision concerne le niveau de protection adéquat assuré par le CBP en vue de répondre aux exigences de l'article 25, paragraphe 1, de la directive 95/46/CE et n'influe en rien sur d'autres conditions ou restrictions mettant en application d'autres dispositions de la directive qui s'appliquent au traitement de données à caractère personnel dans les États membres.
Article 3
1. Sans préjudice des pouvoirs leur permettant de prendre des mesures pour assurer le respect des dispositions nationales adoptées conformément aux dispositions autres que l'article 25 de la directive 95/46/CE, les autorités compétentes des États membres peuvent exercer les pouvoirs dont elles disposent actuellement pour suspendre le transfert de données vers le CBP afin de protéger les personnes physiques à l'égard du traitement des données à caractère personnel qui les concernent dans l'un des deux cas suivants:
a)
lorsqu'une autorité américaine compétente a constaté que le CBP ne respecte pas les normes applicables en matière de protection;
b)
lorsqu'il est probable que les normes de protection établies en annexe ne sont pas respectées, qu'il y a tout lieu de croire que le CBP ne prend pas ou ne prendra pas, en temps voulu, les mesures qui s'imposent pour régler l'affaire en question, que la poursuite du transfert entraînerait un risque imminent de grave préjudice pour les personnes concernées et que les autorités compétentes de l'État membre se sont raisonnablement efforcées, dans ces circonstances, d'avertir le CBP et de lui donner la possibilité de répondre.
2. La suspension du transfert cesse dès que les normes de protection sont assurées et que les autorités compétentes dans les États membres concernés en sont averties.
Article 4
1. Les États membres informent sans tarder la Commission des mesures adoptées conformément à l'article 3.
2. Les États membres et la Commission s'informent aussi mutuellement de tout changement dans les normes de protection ainsi que des cas dans lesquels les mesures prises par les autorités chargées de veiller au respect par le CBP des normes de protection établies en annexe ne suffisent pas à en assurer le respect.
3. Si les informations recueillies conformément à l'article 3 et aux paragraphes 1 et 2 du présent article montrent que les principes essentiels nécessaires pour assurer un niveau de protection adéquat des personnes physiques ne sont plus respectés, ou qu'un quelconque organisme chargé de veiller au respect par le CBP des normes de protection établies en annexe ne remplit pas efficacement sa mission, le CBP sera informé et, si nécessaire, la procédure prévue à l'article 31, paragraphe 2, de la directive 95/46/CE sera applicable en vue d'annuler ou de suspendre la présente décision.
Article 5
La mise en œuvre de la présente décision sera évaluée et toute constatation pertinente sera rapportée au comité institué par l'article 31, de la directive 95/46/CE, et notamment de tout élément susceptible d'avoir une incidence sur l'appréciation, au titre de l'article 1er de la présente décision, du niveau de protection adéquat des données à caractère personnel contenues dans les PNR des passagers aériens transférés au CBP, au sens de l'article 25 de la directive 95/46/CE.
Article 6
Les États membres prennent toutes les mesures nécessaires pour se conformer à la présente décision dans les quatre mois à compter de sa notification.
Article 7
La présente décision vient à échéance trois ans et six mois à compter de sa notification, à moins qu'elle ne soit prolongée conformément à la procédure prévue à l'article 31, paragraphe 2, de la directive 95/46/CE.
Article 8
Les États membres sont destinataires de la présente décision.
Fait à Bruxelles, le 14 mai 2004.