32006D0253
L 091/49
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 6 септември 2005 година
относно адекватната защита на личните данни, съдържащи се в досиетата на пътници на самолети и трансферирани на Агенцията на канадските гранични служби
(нотифицирано под номер С(2005) 3248)
(текст от значение за ЕИП)
(2006/253/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. относно защитата на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от него,
като има предвид, че:
(1)
Съгласно Директива 96/46/ЕО от държавите-членки се изисква да осигурят трансферът на лични данни на трета страна да се извършва само ако въпросната трета страна обезпечи адекватно ниво на защита и ако законите на държавите, с които се транспонират останалите разпоредби на директивата, са спазени преди трансфера.
(2)
Комисията може да установи, че третата страна осигурява адекватно ниво на защита. В такъв случай от държавите-членки могат да се трансферират лични данни, без да са необходими допълнителни гаранции.
(3)
Съгласно Директива 96/46/ЕО нивото на защита на данните следва да се оцени в светлината на всички обстоятелства, свързани с операцията по трансфер на данни или с групата операции по трансфер на данни, като особено внимание се обърне на редица елементи, отнасящи се до трансфера, които са изброени в член 25, параграф 2 от него.
(4)
В рамките на въздушния транспорт „досие на пътник“ (PNR) e запис на изискванията във връзка с пътуването на всеки един пътник, който съдържа цялата необходима информация, позволяваща обработката и контрола на резервациите от резервиращата и участващите авиолинии (2). За целите на настоящото решение термините „пътник“ и „пътници“ включват членовете на екипажа. „Резервираща авиолиния“ означава авиолинията, при която пътникът е направил първоначалните си резервации или в която са направени допълнителни резервации след започването на пътуването. „Участващи авиолинии“ са всички авиолинии, от които резервиращата авиолиния е поискала за даден пътник да бъде запазено място за един или повече от полетите ѝ.
(5)
Агенцията на канадските гранични служби (CBSA) изисква всеки превозвач, който извършва пътнически полети до Канада, да ѝ предостави електронен достъп до PNR, доколкото PNR се събира и съдържа в автоматизираните резервационни системи на превозвача и в системите му за контрол на излитанията.
(6)
Изискванията личните данни, които се съдържат в PNR на пътниците на самолети, да се трансферират до CBSA, се основават на раздел 107.1 от Закона за митниците и параграф 148, буква г) от Закона за имиграцията и защита на бежанците, както и на подзаконовите нормативни актове по тяхното прилагане (3).
(7)
Въпросното канадско законодателство се отнася до повишаване на сигурността и условията, при които лицата могат да влизат в страната, въпроси, относно които Канада има суверенното право да решава в рамките на своята юрисдикция. Установените изисквания, освен това, не са несъответстващи на международните ангажименти, които Канада е поела. Канада е демократична държава с върховенство на закона и със силна традиция в гражданските свободи. Легитимността на законотворческия процес в нея, както и силата и независимостта на съдебната ѝ система са несъмнени. Свободата на пресата е още една силна гаранция срещу нарушаването на гражданските свободи.
(8)
Общността се ангажира напълно да подкрепи Канада в борбата срещу тероризма в границите, наложени от правото на Общността. Правото на Общността предвижда поддържането на необходимия баланс между съображенията за сигурност и съображенията за защита на личните данни. Например член 13 от Директива 95/46/ЕО предвижда, че държавите членки могат да приемат закони, с които да ограничат обхвата на определени изисквания на посочената директива, когато това е необходимо да се извърши за целите на националната сигурност, отбраната, обществената сигурност и предотвратяването, разследването, разкриването и съдебното преследване на престъпления.
(9)
Разглежданите трансфери на данни касаят конкретни контролиращи, а именно авиолиниите, които извършват полети от Общността до Канада и само един получател в Канада, по-специално CBSA.
(10)
Всички договорености за предоставяне на законова рамка за трансфер на PNR за Канада, по-специално чрез настоящото решение, следва да бъдат времево ограничени. Беше договорен период от три години и половина. През този период контекстът може да се промени съществено и Общността и Канада са съгласни, че ще е необходимо преразглеждане на договореностите.
(11)
Обработването от CBSA на лични данни, съдържащи се в трансферираните им PNR на пътниците на самолети, се подчинява на условията, предвидени в Задълженията на Агенцията на канадските гранични служби по отношение на прилагането на тяхната PNR програма (наричани тук по-нататък „Задълженията“) и в канадското право в степента, посочена в Задълженията.
(12)
По отношение на правото на Канада в настоящия контекст са релевантни Законът за защита на личните данни, Законът за достъпа до информация и раздел 107 от Закона за митниците, доколкото те контролират условията, съгласно които CBSA могат да откажат искания за разкриване на информация и така да запазят PNR конфиденциални. Законът за защита на личните данни регулира разкриването на PNR на лицето, за което тя се отнася, тясно свързано с правото на достъп на субекта на данните. Законът за защита на личните данни е в сила само за лицата, които се намират в Канада. Все пак, в допълнение, CBSA предоставя достъп до PNR информация, която се подържа за чуждестранно лице, когато тя или той не се намира в Канада.
(13)
По отношение на Задълженията и както е предвидено в раздел 43 от тях, формулировките в Задълженията или са инкорпорирани в съществуващото канадско законодателство, или са вкарани в националните наредби, формулирани конкретно за тази цел и така имат законно действие. Задълженията ще се публикуват в Канадския официален вестник. Като такива те представляват сериозен и добре обмислен ангажимент от страна на CBSA и тяхното спазване ще бъде предмет на съвместен преглед от Канада и Общността. Неспазването би могло да бъде оспорено като подходящо по законови, административни и политически канали и ако е повтарящо се, би предизвикало прекратяване на действието на настоящото решение.
(14)
Стандартите, по които CBSA ще обработва PNR данните на пътниците въз основа на канадското законодателство и Задълженията, обхващат основните принципи, които са необходими за адекватно ниво на защита за физическите лица.
(15)
По отношение на принципа на ограничаване на предназначението, личните данни на пътниците, съдържащи се в PNR, които се трансферират на CBSA, ще се обработват за конкретно предназначение и след това ще бъдат използвани или предавани по-нататък само доколкото това е съвместимо с предназначението на трансфера. По-специално, PNR данните ще се използват за превенция и борба с: тероризма и свързаните с него престъпления, с други сериозни престъпления, включително организираната престъпност, които са транснационални по своя характер.
(16)
По отношение на принципа на качеството и на пропорционалността на данните, който е необходимо да се разглежда във връзка с основанията на важния обществен интерес, заради който се трансферират PNR данните, PNR данните, предоставени на CBSA, няма впоследствие да бъдат променени от нея. Ще се трансферират максимум 25 категории PNR данни и CBSA ще се консултира и ще се договори с Европейската комисия относно преразглеждането на 25-те изисквани елемента на PNR данните, определени в притурка А, преди да извърши такова преразглеждане. Допълнителната лична информация, която се търси като директен резултат от PNR данните ще се получава от извънправителствени източници само по законни канали. Като общо правило PNR данните ще бъдат изтривани след максимум три години и шест месеца.
(17)
По отношение на принципа на прозрачността CBSA ще предоставят информация на пътниците относно целта на трансфера и обработката, както и относно самоличността на контролиращия данните, а също и друга информация.
(18)
По отношение на принципа на сигурността CBSA вземат технически и организационни мерки, които са подходящи за риска, възникващ от обработването.
(19)
Правата на достъп, коригиране и обозначаване със знаци са признати от Закона за защита на личните данни по отношение на физичческите лица, които присъстват в Канада. CBSA ще предостави тези права във връзка с PNR информацията, която тя притежава, също така и по отношение на чуждестранни граждани, които не присъстват в Канада. Предвидените изключения са най-общо сравними с ограничения, които могат да бъдат наложени от държавите-членки съгласно член 13 от Директива 95/64/ЕС.
(20)
Ще бъдат извършвани последващи трансфери до други държавни власти, включително чуждестранни държавни власти на база всеки случай поотделно, за цели, които са идентични на или съвместими с тези, заложени в заявлението за ограничаване на целите по отношение на минимален размер на данните. Трансфери могат да бъдат извършвани също за защита на жизнено важните интереси на субекта на данните или на други лица, по-специално по отношение на значителни рискове за здравето или при всякакви съдебни производства, или при други случаи, когато това се изисква от закона. Получаващите агенции се задължават от изричните условия за разкриване на информацията да използват данните само за тези цели и не могат да трансферират данните по-нататък без съгласието на CBSA. Никои други чуждестранни, федерални, провинциални или местни власти нямат директен електронен достъп до PNR данни чрез базите данни на CBSA. CBSA ще отказва публичното разкриване на PNR на базата на изключенията от съответните разпоредби на Закона за достъпа до информация и на Закона за защита на личните данни.
(21)
CBSA не получава секретна информация по смисъла на член 8 от Директива 95/46/ЕО.
(22)
По отношение на механизмите за прилагане, за да се осигури спазването от страна на CBSA на тези принципи, е осигурено обучение и информиране на персонала на CBSA, както и санкции за отделните членове на персонала. Опазването от страна на CBSA на защита на личните данни като цяло ще се осъществява под внимателния надзор на независимата служба на Канадския комисар по защита на личните данни съгласно условията, определени в Канадската харта на правата и свободите и в Закона за защита на личните данни. Комисарят по защита на личните данни може да разглежда жалби, отнесени към него от органите за защита на данните в държавите членки от името на живеещите в Общността, ако живеещият в общността счита, че неговата жалба не е разгледана удовлетворително от CBSA. Спазването на Задълженията ще е предмет на ежегоден съвместен преглед, осъществяван от CBSA и екип, воден от Комисията.
(23)
В интерес на прозрачността, а и за да се защити възможността на компетентните власти в държавите членки да осигурят защита на гражданите по отношение на обработката на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които прекратяването на конкретни потоци данни може да бъде оправдано въпреки констатирането на адекватна защита.
(24)
Работната група по защита на гражданите по отношение на обработката на личните данни, създадена съгласно член 29 от Директива 95/46/ЕО предостави становища относно нивото на защита, предоставено от канадските власти за данните на пътниците (4), които направляваха Комисията през цялото време на преговорите ѝ с CBSA. Комисията е взела предвид тези становища при изготвянето на настоящото Решение.
(25)
Мерките, предвидени в настоящото решение, са в съответствие със становището на Комитета, създаден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Агенцията на канадските гранични служби (наричана по-надолу CBSA) осигурява адекватно ниво на защита за PNR данните, трансферирани от Общността относно полетите до Канада в съответствие със Задълженията, установени в приложението.
Член 2
Настоящото решение се отнася до адекватността на защитата, осигурявана от CBSA с оглед удовлетворяване изискванията на член 25, параграф 1 от Директива 95/46/ЕО и то не влияе на другите условия или ограничения, транспониращи други разпоредби на тази Директива, които се отнасят до обработването на лични данни вътре в държавите членки.
Член 3
1. Без да се засягат правомощията им да предприемат действия, за да осигуряват спазването на националните разпоредби, приети в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи в държавите членки могат да упражняват настоящите си правомощия да прекратяват потоците от данни към CBSA, за да защитат гражданите по отношение обработването на техните лични данни в следните случаи:
а)
когато компетентен канадски орган е определил, че CBSA е нарушила действащите стандарти за защита; или
б)
има значителна вероятност предвидените в приложението стандарти за защита да са нарушени, съществуват достатъчно основания да се счита, че CBSA не предприема или няма да предприеме адекватни и своевременни стъпки за да разреши въпросния случай, непрекъснатия трансфер би създал застрашаващ риск от фатално увреждане на субектите на данните и компетентните органи в държавите членки са направили значителни усилия при съществуващите обстоятелства, за да предоставят на CBSA уведомление и възможност да реагира.
2. Прекратяването спира веднага след като бъдат обезпечени стандартите за защита и компетентните органи на съответните държави-членки бъдат уведомени за това.
Член 4
1. Държавите членки информират Комисията незабавно, когато се приемат мерки в съответствие с член 3.
2. Държавите членки и Комисията се информират един друг за всякакви промени в стандартите за защита и за случаи, когато действията на органите, които отговарят за осигуряване на спазването от CBSA на предвидените в приложението стандарти за защита, не успеят да осигурят такова спазване.
3. Ако информацията, събрана съгласно член 3 и съгласно параграфи 1 и 2 от настоящия член, предоставя доказателства, че основните принципи, които са необходими за адекватното ниво на защита, вече не се спазват, или че орган, който отговаря за спазването от CBSA на предвидените в приложението стандарти за защита, не изпълнява ефективно своята роля, CBSA се информира и, ако е необходимо, се прилага процедурата, упомената в член 31, параграф 2 от Директива 95/46/ЕО с оглед отмяната или спирането на настоящото решение.
Член 5
Функционирането на настоящото решение се наблюдава и всички отнасящи се до него констатации се докладват на Комитета, създаден съгласно член 31 от Директива 95/46/ЕО, включително всякакви доказателства, които биха повлияли на констатацията в член 1 от настоящото решение, че защитата на личните данни, съдържащи се в PNR на пътници в самолети, които се трансферират до CBSA, е адекватна по смисъла на член 25 от Директива 95/46/ЕО.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението в срок от шест месеца, считано от датата на нотификацията му.
Член 7
Настоящото решение спира да действа три години и шест месеца след датата на нотифицирането му, освен ако действието му не бъде удължено в съответствие с процедурата, определена в член 31, параграф 2 от Директива 95/46/ЕО.
Член 8
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 6 септември 2005 година.