BESCHIKKING VAN DE COMMISSIE
van 14 mei 2004
betreffende de passende bescherming van persoonsgegevens in het Passenger Name Record van vliegtuigpassagiers die aan het Bureau of Customs and Border Protection van de Verenigde Staten worden doorgegeven
(Kennisgeving geschied onder nummer C(2004) 1914)
(Voor de EER relevante tekst)
(2004/535/EG)
DE COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN,
Gelet op het Verdrag tot oprichting van de Europese Gemeenschap,
Gelet op Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1), inzonderheid op artikel 25, lid 6,
Overwegende hetgeen volgt:
(1)
Overeenkomstig Richtlijn 95/46/EG moeten de lidstaten bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en vóór de doorgifte wordt voldaan aan de wetgeving van de lidstaten ter uitvoering van de andere bepalingen van de richtlijn.
(2)
De Commissie kan vaststellen dat een derde land waarborgen voor een passend beschermingsniveau biedt. In dat geval kunnen persoonsgegevens zonder aanvullende garanties door de lidstaten worden doorgegeven.
(3)
Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden waarin een gegevensdoorgifte of een categorie gegevensdoorgiften plaatsvindt, waarbij in het bijzonder rekening moet worden gehouden met een aantal elementen die van belang zijn voor de doorgifte, welke in artikel 25, lid 2, van de richtlijn zijn opgenomen.
(4)
In het luchtverkeer is het Passenger Name Record (PNR) een bestand met de reisgegevens van elke passagier dat alle informatie bevat die de boekende en de deelnemende luchtvaartmaatschappijen nodig hebben om reserveringen te kunnen verwerken en controleren. Voor de toepassing van deze beschikking wordt onder „passagier” en „passagiers” tevens bemanningsleden verstaan. Onder „boekende luchtvaartmaatschappij” wordt verstaan de luchtvaartmaatschappij waarbij de passagier zijn reservering heeft geboekt of waarbij bijkomende reserveringen zijn geboekt nadat de reis is begonnen. Onder „deelnemende luchtvaartmaatschappijen” wordt verstaan iedere luchtvaartmaatschappij waarbij de boekende luchtvaartmaatschappij om een plaats op een of meer van haar vluchten heeft verzocht.
(5)
Het Bureau of Customs and Border Protection (CBP) van het Department of Homeland Security (DHS) van de Verenigde Staten verlangt van elke luchtvaartmaatschappij die passagiersvluchten van en naar de Verenigde Staten verricht, elektronische toegang tot het PNR, voorzover PNR-gegevens worden vergaard en in het geautomatiseerde boekingssysteem van de luchtvaartmaatschappij worden opgeslagen.
(6)
De vereisten inzake de doorgifte van persoonsgegevens uit het PNR van vliegtuigpassagiers aan het CBP zijn gebaseerd op een wet die door de Verenigde Staten in november 2001 (2) is goedgekeurd, en op uitvoeringsvoorschriften (3) die krachtens die wet door het CBP zijn vastgesteld.
(7)
De desbetreffende wetgeving van de Verenigde Staten heeft betrekking op een grotere veiligheid en op de voorwaarden waaronder personen het land mogen binnenkomen en verlaten, aangelegenheden waarover de Verenigde Staten binnen het eigen rechtsgebied autonoom besluiten kunnen nemen. De vastgestelde bepalingen zijn overigens niet in strijd met door de Verenigde Staten aangegane internationale verplichtingen. De Verenigde Staten zijn een democratisch land en een rechtsstaat met een lange traditie van burgerlijke vrijheden. De legitimiteit van de wetgevingsprocedures en de capaciteit en onafhankelijkheid van het gerechtelijk apparaat in de Verenigde Staten staan niet ter discussie. Daarnaast is ook de persvrijheid een sterke garantie tegen elk misbruik van de burgerlijke vrijheden.
(8)
De Gemeenschap steunt de Verenigde Staten ten volle in de strijd tegen het terrorisme binnen de grenzen van het Gemeenschapsrecht. Het Gemeenschapsrecht maakt het mogelijk een noodzakelijk evenwicht tot stand te brengen tussen veiligheidsbelangen en belangen welke verband houden met de persoonlijke levenssfeer. Zo bepaalt bijvoorbeeld artikel 13 van Richtlijn 95/46/EG dat de lidstaten wettelijke maatregelen kunnen nemen om de reikwijdte van bepaalde voorschriften van die richtlijn te beperken, indien dit noodzakelijk is om redenen van nationale veiligheid, defensie, openbare veiligheid en met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten.
(9)
De bedoelde doorgifte van gegevens betreft specifieke voor de verwerking verantwoordelijke instanties, namelijk luchtvaartmaatschappijen die tussen de Gemeenschap en de Verenigde Staten vliegen, en slechts één ontvanger in de Verenigde Staten, te weten het CBP.
(10)
Elke regeling die een wettelijk kader creëert voor de doorgifte van PNR-gegevens naar de Verenigde Staten, met name door middel van deze beschikking, moet een beperkte looptijd hebben. Er is een periode van drie en een half jaar overeengekomen. Tijdens deze periode kan de situatie ingrijpend veranderen en de Gemeenschap en de Verenigde Staten zijn het erover eens dat de regeling zal moeten worden herzien.
(11)
Voor de verwerking door het CBP van de doorgegeven persoonsgegevens uit het PNR van vliegtuigpassagiers gelden de voorwaarden die zijn vastgesteld in de verbintenissen van het Bureau of Customs and Border Protection (CBP) van het Department of Homeland Security van 11 mei 2004, (hierna „de verbintenissen” genoemd) en in de interne wetgeving van de Verenigde Staten waarnaar in die verbintenissen wordt verwezen.
(12)
Wat de interne wetgeving van de Verenigde Staten betreft, is de Freedom of Information Act (FOIA) in dit verband in zoverre van belang dat daarin de voorwaarden zijn vastgesteld waaronder het CBP verzoeken om openbaarmaking kan weigeren en aldus het vertrouwelijke karakter van het PNR kan garanderen. Deze wet regelt de openbaarmaking van het PNR aan de belanghebbende, wat nauw aansluit bij het recht van toegang van de betrokkene. De FOIA is zonder onderscheid van toepassing op onderdanen en niet-onderdanen van de Verenigde Staten.
(13)
De verbintenissen zijn of worden, overeenkomstig punt 44 ervan, in de Verenigde Staten in wetten, verordeningen, richtsnoeren of andere wetsteksten opgenomen en zullen zodoende in verschillende mate rechtskracht krijgen. De verbintenissen zullen onder verantwoordelijkheid van het DHS volledig in het Federal Register worden gepubliceerd. Deze verbintenissen getuigen van een serieus en weloverwogen politiek engagement van het DHS en de naleving ervan zal door de Gemeenschap en de Verenigde Staten gezamenlijk worden geëvalueerd. Niet-naleving ervan kan eventueel worden gewraakt met wettelijke, bestuursrechtelijke en politieke middelen; bij voortdurende niet-naleving kan de werking van deze beschikking worden opgeschort.
(14)
De normen die het CBP bij het verwerken van PNR-gegevens op basis van de VS-wetgeving en de verbintenissen zal hanteren, voldoen aan de vereiste grondbeginselen voor een passend beschermingsniveau voor natuurlijke personen.
(15)
Wat het beginsel van de gebruiksbeperking betreft, zullen de passagiersgegevens uit het PNR die aan het CBP worden doorgegeven, voor een specifiek doel worden gebruikt en daarna alleen nog worden aangewend of medegedeeld voorzover dit niet onverenigbaar is met het doel van de doorgifte. Meer bepaald zullen PNR gegevens uitsluitend worden gebruikt ter voorkoming en bestrijding van terrorisme en aanverwante misdrijven, andere zware misdrijven, waaronder georganiseerde misdaad, die van grensoverschrijdende aard zijn, alsook het ontvluchten van een aanhoudingsbevel of arrestatie wegens die misdrijven.
(16)
Wat het beginsel van gegevenskwaliteit en het evenredigheidsbeginsel betreft, die moeten worden gezien in het licht van de belangrijke redenen van openbaar belang waarom PNR-gegevens worden doorgegeven, geldt dat deze gegevens na doorgifte aan het CBP door deze dienst achteraf niet zullen worden gewijzigd. Maximaal 34 PNR-categorieën van gegevens zullen aan de VS-autoriteiten worden doorgegeven en deze zullen de Commissie raadplegen alvorens nieuwe vereisten toe te voegen. Aanvullende persoonsgegevens waarom als rechtstreeks gevolg van PNR-gegevens wordt verzocht, zullen uit andere bronnen dan de overheid alleen langs legale weg worden verkregen. Over het algemeen zullen de PNR-gegevens na een periode van maximaal drie jaar en zes maanden worden vernietigd, met uitzondering van gegevens die voor specifiek onderzoek zijn gebruikt of anderszins manueel zijn geraadpleegd.
(17)
Wat het transparantiebeginsel betreft, zal het CBP de reizigers van het doel van de doorgifte en verwerking van de gegevens en van de identiteit van de voor de verwerking verantwoordelijke instantie in het derde land op de hoogte stellen en hun ook andere informatie verstrekken.
(18)
Wat het beveiligingsbeginsel betreft, neemt het CBP technische en organisatorische beveiligingsmaatregelen die in verhouding staan tot de aan de verwerking van de gegevens inherente risico’s.
(19)
Het recht op toegang tot en rectificatie van de gegevens wordt erkend, in die zin dat de betrokkene een kopie van de PNR-gegevens kan aanvragen en onjuiste gegevens kan laten corrigeren. De uitzonderingen waarin is voorzien, zijn grotendeels vergelijkbaar met de beperkingen die door de lidstaten overeenkomstig artikel 13 van Richtlijn 95/46/EG kunnen worden opgelegd.
(20)
Verdere doorgifte naar andere overheidsinstanties, inclusief buitenlandse overheidsinstanties, met taken op het gebied van terrorismebestrijding of wetshandhaving geschiedt alleen per geval, voor doeleinden die in de verklaring over de beperking van de gebruiksdoeleinden zijn aangegeven. Doorgifte kan ook plaatsvinden ter bescherming van een vitaal belang van de betrokkene of van andere personen, meer bepaald wat betreft belangrijke gezondheidsrisico’s, of bij strafrechtelijke vervolging van misdrijven, of in andere bij wet vastgestelde gevallen. Deze instanties zijn expliciet gebonden door de voorwaarden voor openbaarmaking; zij mogen de gegevens alleen voor het beoogde doel gebruiken en geen gegevens verder doorgeven zonder toestemming van het CBP. Andere buitenlandse, federale, staats-, of lokale instanties dan het CBP hebben geen rechtstreekse elektronische toegang tot de PNR-gegevens via de CPB-gegevensbanken. De openbaarmaking van PNR-gegevens zal door het CBP worden geweigerd op grond van ontheffingen van de desbetreffende bepalingen van de FOIA.
(21)
Het CBP maakt geen gebruik van gevoelige gegevens in de zin van artikel 8 van Richtlijn 95/46/EG en verbindt zich ertoe, zolang er geen filtreersysteem bestaat om de doorgifte van dergelijke gegevens uit het PNR naar de Verenigde Staten te beletten, maatregelen te nemen om deze gegevens te vernietigen en, zolang dit niet gebeurd is, er geen gebruik van te maken.
(22)
Wat betreft de handhavingsmechanismen om de naleving van deze beginselen door het CBP te waarborgen, is voorzien in opleiding en voorlichting van het personeel van deze dienst, alsook in de mogelijkheid om individuele personeelsleden te bestraffen. Op de eerbiediging van de privacy door het CPB in het algemeen wordt toegezien door de Chief Privacy Officer van het DHS, die ambtenaar is van het DHS, maar over een ruime organisatorische autonomie beschikt en jaarlijks verslag moet uitbrengen aan het Congres. Personen van wie PNR-gegevens zijn doorgegeven, kunnen bij het CPB, of, als dat niets oplevert, bij de Chief Privacy Officer van het DHS een klacht indienen, hetzij rechtstreeks, hetzij via de gegevensbeschermingsautoriteiten in de lidstaten. Klachten die door de gegevensbeschermingsautoriteiten van de lidstaten aan het DHS Privacy Office worden voorgelegd namens ingezetenen van de Gemeenschap die ontevreden zijn over de afhandeling van de klacht door het CBP of het DHS Privacy Office, worden onverwijld door het Privacy Office behandeld. De naleving van de verbintenissen zal elk jaar door het CBP in samenwerking met het DHS, en een team onder leiding van de Commissie gemeenschappelijk worden geëvalueerd.
(23)
In het belang van de transparantie en om de bevoegde autoriteiten in de lidstaten in staat te stellen de bescherming van personen in verband met de verwerking van hun persoonsgegevens te waarborgen, is het noodzakelijk nader te regelen welke uitzonderlijke omstandigheden tot een opschorting van de doorgifte van gegevens kunnen leiden, ook al is er een passend beschermingsniveau vastgesteld.
(24)
De bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens heeft adviezen gegeven over het beschermingsniveau dat door de VS-autoriteiten voor passagiersgegevens wordt geboden, welke voor de Commissie als leidraad hebben gediend tijdens haar onderhandelingen met de DHS. De Commissie heeft nota genomen van deze adviezen (4).
(25)
De in deze beschikking vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31, lid 1, van Richtlijn 95/46/EG ingestelde comité,
HEEFT DE VOLGENDE BESCHIKKING GEGEVEN:
Artikel 1
Voor de toepassing van artikel 25, lid 2, van Richtlijn 95/46/EG wordt het Bureau of Customs and Border Protection van de Verenigde Staten, hierna „CBP” genoemd, geacht een passend beschermingsniveau te bieden voor PNR-gegevens die vanuit de Gemeenschap met betrekking tot vluchten van en naar de Verenigde Staten overeenkomstig de verbintenissen in de bijlage worden doorgegeven.
Artikel 2
Deze beschikking betreft het passende karakter van de bescherming die door het CBP wordt geboden om aan de vereisten van artikel 25, lid 1, van Richtlijn 95/46/EG te voldoen en laat andere voorwaarden of beperkingen tot uitvoering van andere bepalingen van die richtlijn die op de verwerking van persoonsgegevens in de lidstaten betrekking hebben, onverlet.
Artikel 3
1. Onverminderd hun bevoegdheden om stappen te ondernemen ter naleving van nationale bepalingen die zijn vastgesteld ingevolge andere bepalingen dan artikel 25 van Richtlijn 95/46/EG, kunnen de bevoegde autoriteiten in de lidstaten gebruikmaken van hun bestaande bevoegdheden om de overdracht van gegevens aan het CBP op te schorten, teneinde personen bij de verwerking van hun persoonsgegevens te beschermen in de volgende gevallen:
a)
wanneer een bevoegde VS-autoriteit heeft vastgesteld dat het CBP in strijd met de toepasselijke normen voor gegevensbescherming handelt, of
b)
wanneer het zeer waarschijnlijk is dat niet aan de in de bijlage vastgestelde normen voor gegevensbescherming wordt voldaan, er gegronde redenen zijn om aan te nemen dat het CBP niet tijdig passende maatregelen neemt of zal nemen om het desbetreffende probleem op te lossen, de voortzetting van de doorgifte een dreigend gevaar voor ernstige schade voor de betrokkene inhoudt en de bevoegde autoriteiten in de lidstaat naar de omstandigheden in redelijkheid inspanningen hebben geleverd om het CBP in kennis te stellen en de gelegenheid te geven te reageren.
2. De opschorting eindigt zodra is gewaarborgd dat de beschermingsnormen worden nageleefd en de bevoegde autoriteiten van de betrokken lidstaten hiervan in kennis zijn gesteld.
Artikel 4
1. De lidstaten stellen de Commissie onverwijld in kennis wanneer op grond van artikel 3 maatregelen worden genomen.
2. De lidstaten en de Commissie stellen elkaar in kennis van iedere wijziging in de normen voor gegevensbescherming en van de gevallen waarin de instanties die verantwoordelijk zijn voor de naleving door het CBP van de in de bijlage vastgestelde beschermingsnormen verzuimen deze naleving te garanderen.
3. Wanneer uit de overeenkomstig artikel 3 en de leden 1 en 2 van dit artikel verzamelde informatie mocht blijken dat niet langer aan de vereiste grondbeginselen voor een passend beschermingsniveau voor natuurlijke personen wordt voldaan, of dat een instantie die verantwoordelijk is voor de naleving door het CBP van de in de bijlage vastgestelde beschermingsnormen haar taak niet naar behoren vervult, wordt het CBP hiervan in kennis gesteld en wordt, indien nodig, de in artikel 31, lid 2, van Richtlijn 95/46/EG bedoelde procedure toegepast om deze beschikking in te trekken of op te schorten.
Artikel 5
De werking van deze beschikking wordt geëvalueerd en alle relevante bevindingen worden medegedeeld aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité, met inbegrip van ieder bewijs dat van invloed kan zijn op de in artikel 1 van deze beschikking vervatte vaststelling dat de bescherming van in het PNR van vliegtuigpassagiers voorkomende persoonsgegevens die aan het CBP worden doorgegeven, passend is in de zin van artikel 25 van Richtlijn 95/46/EG.
Artikel 6
De lidstaten nemen alle noodzakelijke maatregelen om binnen vier maanden na kennisgeving van deze beschikking aan deze beschikking te voldoen.
Artikel 7
Deze beschikking komt drie jaar en zes maanden na de datum van kennisgeving ervan te vervallen, tenzij zij overeenkomstig de in artikel 31, lid 2, van Richtlijn 95/46/EG bedoelde procedure wordt verlengd.
Artikel 8
Deze beschikking is gericht tot de lidstaten.
Gedaan te Brussel, 14 mei 2004.