ROZHODNUTÍ KOMISE
ze dne 14. května 2004
o odpovídající úrovni ochrany osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají Úřadu USA pro cla a ochranu hranic
(oznámeno pod číslem K(2004) 1914)
(Text s významem pro EHP)
(2004/535/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 této směrnice,
vzhledem k těmto důvodům:
(1)
Směrnice 95/46/ES vyžaduje, aby členské státy stanovily, že k předávání osobních údajů do třetí země může dojít pouze tehdy, pokud dotyčná třetí země zajistí odpovídající úroveň ochrany a pokud jsou před předáním údajů dodrženy právní předpisy členských států provádějící ostatní ustanovení uvedené směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů vyhodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů se zvláštním přihlédnutím k řadě skutečností, které pro ně mají význam a jsou vyjmenovány v čl. 25 odst. 2 uvedené směrnice.
(4)
V rámci letecké dopravy se „záznamem o knihování cestujícího“ (Passenger Name Record - dále jen „PNR“) rozumí záznam o cestovních požadavcích každého cestujícího obsahující veškeré informace, jež jsou nezbytné ke zpracování a kontrole rezervací prováděné rezervačními a zúčastněnými leteckými společnostmi. Pro účely tohoto rozhodnutí zahrnuje výraz „cestující“ členy posádky. „Rezervační leteckou společností“ se rozumí letecká společnost, u níž cestující provedl původní rezervaci nebo dodatečné rezervace po zahájení své cesty. „Zúčastněnou leteckou společností“ se rozumí kterákoli letecká společnost, u níž rezervační letecká společnost požádala o zajištění místa pro cestujícího na jednom nebo více letech.
(5)
Úřad USA pro cla a ochranu hranic (United States Bureau of Customs and Border Protection - dále jen „CBP“) Ministerstva pro vnitřní bezpečnost (Department of Homeland Security - dále jen „DHS“) vyžaduje, aby mu každý letecký dopravce provozující mezinárodní osobní lety z USA nebo do USA poskytl elektronický přístup k PNR v rozsahu, v němž je tento PNR získán a obsažen v počítačovém rezervačním systému daného leteckého dopravce.
(6)
Požadavky na osobní údaje obsažené v PNR leteckého cestujícího, který má být předán CBP, vyplývají ze zákona, který USA přijaly v listopadu 2001 (2), a z prováděcích předpisů, které CBP přijal podle daného zákona (3).
(7)
Dotyčné právní předpisy USA se týkají posílení bezpečnosti a podmínek, za nichž mohou fyzické osoby vstupovat do země a opouštět ji, tedy záležitostí, o nichž mají USA pravomoc rozhodovat v rámci uplatnění své svrchovanosti. Kromě toho nejsou stanovené požadavky neslučitelné s jakýmikoli mezinárodními závazky, které USA přijaly. USA jsou demokratickým právním státem se silnou tradicí občanských svobod. O legitimitě jejich zákonodárného procesu a síle a nezávislosti jejich soudní moci není pochyb. Další silnou zárukou proti porušování občanských svobod je svoboda tisku.
(8)
Společenství je plně odhodláno podporovat USA v boji proti terorismu v mezích uložených právem Společenství. Právo Společenství vyžaduje dosažení rovnováhy mezi bezpečnostními požadavky a požadavky na soukromí. Například článek 13 směrnice 95/46/ES stanoví, že členské státy mohou přijmout legislativní opatření s cílem omezit některé požadavky uvedené směrnice v rozsahu nezbytném k zajištění bezpečnosti státu, obrany, veřejné bezpečnosti, předcházení trestným činům a jejich vyšetřování, odhalování a stíhání.
(9)
Do předávání dotyčných údajů jsou zapojeni zvláštní správci, jmenovitě letecké společnosti, které provozují lety mezi Společenstvím a USA, a pouze jeden příjemce v USA, jmenovitě CBP.
(10)
Jakékoli ujednání týkající se vytvoření právního rámce pro předávání PNR do USA, zejména prostřednictvím tohoto rozhodnutí, by mělo být časově omezeno. Bylo proto dohodnuto období tři a půl roku. Během tohoto období může dojít k výrazné změně situace a Společenství i USA se shodují, že bude nutné ujednání přezkoumat.
(11)
Zpracování osobních údajů obsažených v PNR leteckých cestujících úřadem CBP se řídí podmínkami stanovenými v Závazném prohlášení Úřadu pro cla a ochranu hranic Ministerstva pro vnitřní bezpečnost (CBP) ze dne 11. května 2004 (dále jen „závazné prohlášení“) a ve vnitrostátních právních předpisech USA v rozsahu uvedeném v závazném prohlášení.
(12)
Ve vnitrostátním právu USA má v této souvislosti význam zákon o svobodě informací (Freedom of Information Act - FOIA) v míře, v níž upravuje podmínky, za nichž může CBP odmítnout žádosti o zpřístupnění a zachovat důvěrnost PNR. Uvedený zákon upravuje poskytování PNR osobě, jíž se týká, což je úzce spojeno s právem subjektu údajů na přístup k údajům. Vztahuje se bez rozdílu na občany USA i cizince.
(13)
Ustanovení závazného prohlášení budou nebo již jsou v USA začleněna na základě jeho odstavce 44 do zákonů, nařízení, směrnic nebo jiných politických nástrojů, a proto budou mít nebo již mají různé stupně právní síly. Úplné znění závazného prohlášení bude na základě pravomoci DHS zveřejněno ve Federálním rejstříku. Jako takové představuje ze strany DHS vážný a dobře uvážený politický závazek a jeho plnění bude podléhat společnému přezkumu ze strany USA a Společenství. Proti neplnění by bylo možné postupovat příslušnými právními, administrativními a politickými cestami a v případě přetrvávajícího neplnění by došlo k pozastavení účinků tohoto rozhodnutí.
(14)
Normy, podle nichž bude CBP zpracovávat údaje obsažené v PNR cestujících na základě právních předpisů USA a závazného prohlášení, obsahují základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob.
(15)
Pokud jde o zásadu účelového omezení, budou osobní údaje leteckých cestujících obsažené v PNR předaném CBP zpracovány pro zvláštní účel a dále využity nebo sděleny pouze v tom rozsahu, který není neslučitelný s účely předání. Obzvláště pak budou údaje obsažené v PNR využity výhradně pro účely předcházení a potírání terorismu a související trestné činnosti, jiných závažných trestných činů nadnárodní povahy včetně organizovaného zločinu a útěku před zatykačem nebo soudní vazbou pro tyto trestné činy.
(16)
Pokud jde o zásadu kvality údajů a přiměřenosti, kterou je třeba vzít v úvahu ve vztahu k závažným důvodům veřejného zájmu, kvůli nimž se údaje PNR předávají, nebude CBP následně měnit údaje obsažené v PNR, který mu byl poskytnut. Bude se předávat maximálně 34 kategorií údajů PNR a orgány USA budou konzultovat Komisi dříve, než se rozhodnou přidat jakékoli nové požadavky. Dodatečné osobní informace, které budou vyhledávány v důsledku údajů obsažených v PNR, budou získávány z mimovládních zdrojů pouze zákonnými cestami. Obecně platí, že PNR bude po nejvýše třech letech a šesti měsících vymazán s výjimkou údajů, které byly vyhledány z důvodů zvláštního vyšetřování nebo jinak ručně vyhledány.
(17)
Pokud jde o zásadu transparentnosti, poskytne CBP cestujícím informace o účelu předávání a zpracování, o totožnosti správce údajů ve třetí zemi a další informace.
(18)
Pokud jde o zásadu bezpečnosti, přijme CBP taková technická a organizační opatření, která jsou přiměřená rizikům, jež obnáší zpracování.
(19)
Jsou uznána práva na přístup a opravu v té podobě, že si subjekt údajů může vyžádat kopii údajů PNR a požadovat opravu nepřesných údajů. Předpokládané výjimky jsou vesměs srovnatelné s omezeními, která mohou členské státy zavést podle článku 13 směrnice 95/46/ES.
(20)
Údaje lze v jednotlivých případech dále předat jiným vládním orgánům odpovědným za boj proti terorismu nebo za výkon veřejné moci, včetně orgánů zahraničních vlád, pro účely, které odpovídají účelům vymezeným v ustanovení o účelovém omezení. Údaje mohou být také předány z důvodů ochrany životně důležitých zájmů subjektu údajů nebo jiných osob, zejména pokud jde o závažná zdravotní rizika nebo o zájmy v jakémkoli trestním soudním řízení, nebo je-li tak jinak vyžadováno ze zákona. Přijímající úřady jsou podle výslovných podmínek zpřístupnění povinny využít údaje pouze k těmto účelům a nepředávat údaje dále bez souhlasu CBP. Do databáze CBP nemá přímý elektronický přístup žádný jiný zahraniční, federální, státní nebo místní úřad. CBP odmítne veřejné zpřístupnění PNR na základě výjimek z příslušných ustanovení zákona o svobodě informací.
(21)
CBP nevyužije citlivé údaje ve smyslu článku 8 směrnice 95/46/ES a zavazuje se, že dokud nebude fungovat systém filtrů na vyřazení takových údajů z PNR předávaných do USA, zavede prostředky na jejich vymazání a nebude je využívat.
(22)
Pokud jde o mechanismus, který má zajistit dodržování těchto zásad ze strany CBP, je zajištěno školení a informování zaměstnanců CBP a jsou stanoveny postihy pro jednotlivé zaměstnance. Zachování soukromí ze strany CBP bude obecně pod kontrolou vedoucího Úřadu na ochranu soukromí DHS (DHS Chief Privacy Officer), který je sice úředníkem DHS, ale je do velké míry organizačně samostatný a musí každý rok předkládat zprávu Kongresu. Osoby, jejichž údaje PNR byly předány, mohou zasílat své stížnosti CBP nebo, pokud jim nebude vyhověno, vedoucímu Úřadu na ochranu soukromí DHS, a to buď přímo, nebo prostřednictvím úřadů na ochranu údajů v členských státech. Úřad pro ochranu soukromí DHS (DHS Privacy Office) bude urychleně vyřizovat stížnosti, které mu předají úřady na ochranu údajů v členských státech jménem osob, které mají pobyt ve Společenství, pokud se tyto osoby domnívají, že CBP nebo Úřad na ochranu soukromí DHS jejich stížnost nevyřídily uspokojivě. Dodržování závazného prohlášení bude společně přezkoumáno CBP spolu s DHS a skupinou vedenou Komisí.
(23)
V zájmu transparentnosti a s cílem zachovat schopnost příslušných orgánů v členských státech zajistit ochranu jednotlivců, pokud jde o zpracování jejich osobních údajů, je nutné upřesnit výjimečné okolnosti, za nichž je možné odůvodnit pozastavení konkrétních toků údajů nezávisle na tom, zda úroveň ochrany byla shledána jako odpovídající.
(24)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, která byla zřízena podle článku 29 směrnice 95/46/ES, vydala stanoviska o úrovni ochrany poskytované údajům cestujících ze strany orgánů USA, jimiž se Komise řídila při jednání s DHS. Komise vzala tato stanoviska na vědomí při přípravě tohoto rozhodnutí (4).
(25)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Pro účely čl. 25 odst. 2 směrnice 95/46/ES se má za to, že Úřad USA pro cla a ochranu hranic (United States’ Bureau of Customs and Border Protection - dále jen „CBP“) zajišťuje odpovídající úroveň ochrany údajů PNR předávaných ze Společenství v souvislosti s lety do USA nebo z USA v souladu se závazným prohlášením uvedeným v příloze.
Článek 2
Toto rozhodnutí se týká odpovídající úrovně ochrany poskytované úřadem CBP v souvislosti s plněním požadavků čl. 25 odst. 1 směrnice 95/46/ES a nemá vliv na ostatní podmínky nebo omezení, jimiž se provádějí jiná ustanovení uvedené směrnice související se zpracováním osobních údajů v členských státech.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států činit kroky na zajištění souladu s vnitrostátními předpisy přijatými podle jiných ustanovení než článku 25 směrnice 95/46/ES, mohou příslušné orgány členských států využít svou stávající pravomoc pozastavit tok údajů do CBP s cílem ochránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v následujících případech:
a)
pokud příslušný orgán USA stanovil, že CBP porušuje platné normy ochrany, nebo
b)
pokud existuje vysoká pravděpodobnost, že jsou porušovány normy ochrany stanovené v příloze, existují rozumné důvody k domněnce, že CBP nečiní nebo neučiní přiměřené a včasné kroky na vyřešení daného případu, pokračující předávání by vytvořilo bezprostřední nebezpečí vážné újmy subjektu údajů a příslušné orgány členského státu vynaložily v dané situaci rozumné úsilí na doručení upozornění CBP a poskytly mu příležitost k reakci.
2. Pozastavení skončí, jakmile bude zajištěno dodržování norem ochrany a toto bude oznámeno příslušným orgánům dotyčného členského státu.
Článek 4
1. Členské státy neprodleně informují Komisi, když přijmou opatření podle článku 3.
2. Členské státy a Komise se vzájemně informují o jakýchkoli změnách norem ochrany a o případech, v nichž činnost odpovědných orgánů nezajistila dodržování norem ochrany ze strany CBP v souladu s přílohou.
3. Jestliže informace získané podle článku 3 a podle odstavců 1 a 2 tohoto článku poskytnou skutečnosti prokazující, že přestaly být dodržovány základní zásady nutné pro odpovídající úroveň ochrany fyzických osob nebo že jakýkoli orgán odpovědný za zajišťování dodržování norem ochrany ze strany CBP v souladu s přílohou neplní účinně svou úlohu, bude o tom CBP informován a v případě potřeby se použije postup uvedený v čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit nebo pozastavit toto rozhodnutí.
Článek 5
Fungování tohoto rozhodnutí bude sledováno a jakákoli související zjištění budou oznámena výboru zřízenému podle článku 31 směrnice 95/46/ES včetně jakýchkoli průkazných skutečností, které by mohly ovlivnit závěr uvedený v článku 1 tohoto rozhodnutí, podle něhož je ochrana osobních údajů obsažených v PNR leteckých cestujících, které se předávají CPB, odpovídající ve smyslu článku 25 směrnice 95/46/ES.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do čtyř měsíců od data jeho oznámení.
Článek 7
Použitelnost tohoto rozhodnutí skončí tři roky a šest měsíců po datu jeho oznámení, pokud nebude prodlouženo v souladu s postupem stanoveným v čl. 31 odst. 2 směrnice 95/46/ES.
Článek 8
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 14. května 2004.
ENTSCHEIDUNG DER KOMMISSION
vom 14. Mai 2004
über die Angemessenheit des Schutzes der personenbezogenen Daten, die in den Passenger Name Records enthalten sind, welche dem United States Bureau of Customs and Border Protection übermittelt werden
(Bekannt gegeben unter Aktenzeichen K(2004) 1914)
(Text von Bedeutung für den EWR)
(2004/535/EG)
DIE KOMMISSION DER EUROPÄISCHEN GEMEINSCHAFTEN -
gestützt auf den Vertrag zur Gründung der Europäischen Gemeinschaft,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1), insbesondere auf Artikel 25 Absatz 6,
in Erwägung nachstehender Gründe:
(1)
Nach Richtlinie 95/46/EG müssen die Mitgliedstaaten dafür sorgen, dass die Übermittlung personenbezogener Daten in ein Drittland nur dann erfolgt, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet und die Rechtsvorschriften der Mitgliedstaaten zur Umsetzung anderer Bestimmungen der Richtlinie erfüllt sind, bevor die Übermittlung erfolgt.
(2)
Die Kommission ist berechtigt, festzustellen, dass ein Drittland einen angemessenen Datenschutz gewährleistet. In diesem Fall können die Mitgliedstaaten personenbezogene Daten übermitteln, ohne dass zusätzliche Garantien erforderlich sind.
(3)
Nach der Richtlinie 95/46/EG sind bei der Bewertung des Datenschutzniveaus alle Umstände zu berücksichtigen, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen, sowie insbesondere eine Reihe sonstiger bei der Datenübermittlung wichtiger und in Artikel 25 Absatz 2 der Richtlinie aufgeführter Merkmale.
(4)
Der „Passenger Name Record“ (PNR) (Fluggastdatensatz) im Luftverkehr ist ein Datensatz mit Reiseangaben für den einzelnen Passagier; er enthält alle Informationen, die für die Bearbeitung und Kontrolle für die bei der Buchung beteiligten und für die sonstigen beteiligten Fluggesellschaften erforderlich sind. Zum Zweck dieser Entscheidung umfassen die Begriffe „Passagier“ und „Passagiere“ die Mitglieder der Besatzung. „An der Buchung beteiligte Fluggesellschaften“ bedeutet eine Fluggesellschaft, bei der der Passagier ursprüngliche Reservierungen vornahm, oder zusätzliche, nach dem Antritt der Reise. „Beteiligte Fluggesellschaft“ ist jede Fluggesellschaft, an die die buchende Fluggesellschaft für einen oder mehrere Flüge eine Reservierungsanfrage für einen Passagier gerichtet hat.
(5)
Das United States Bureau of Customs and Border Protection (CBP - Zoll- und Grenzschutzbehörde der Vereinigten Staaten) des Departments of Homeland Security (DHS) fordert von allen Fluggesellschaften, die Passagierflüge aus dem Ausland in die Vereinigten Staaten oder von den Vereinigten Staaten ins Ausland anbieten, dass sie ihm elektronischen Zugriff auf den PNR gewähren, soweit dieser PNR in den automatischen Buchungs-/Abfertigungssystemen der Fluggesellschaften erfasst und gespeichert wird.
(6)
Rechtsgrundlagen für die geforderte Übermittlung personenbezogener Daten aus dem PNR an das CBP sind ein im November 2001 in den USA erlassenes Gesetz (2) sowie Durchführungsvorschriften (3), die das CBP aufgrund dieses Gesetzes erlassen hat.
(7)
Diese Rechtsvorschriften betreffen die Verbesserung der Sicherheitslage in den USA sowie die Voraussetzungen, unter denen Personen dort ein- und ausreisen dürfen, Angelegenheiten, die die USA in Ausübung ihrer staatlichen Souveränität regeln dürfen. Darüber hinaus stehen die Auflagen in keinerlei Widerspruch zu internationalen Verpflichtungen, die die Vereinigten Staaten eingegangen sind. Die Vereinigten Staaten sind ein demokratischer Rechtsstaat, in dem die bürgerlichen Freiheiten traditionell einen hohen Stellenwert haben. Die Legitimität des Gesetzgebungsverfahrens sowie die Stärke und Unabhängigkeit der Justiz in den USA stehen außer Frage. Darüber hinaus ist die Pressefreiheit ein starker Garant gegen Verletzungen der Grundrechte.
(8)
Die Gemeinschaft unterstützt die USA uneingeschränkt im Kampf gegen den Terrorismus innerhalb der Bestimmungen des Gemeinschaftsrechts. Das Gemeinschaftsrecht sieht eine notwendige Ausgewogenheit zwischen Sicherheitsbedenken und Fragen des Datenschutzes vor. Beispielsweise ermöglicht Artikel 13 der Richtlinie 95/46/EG den Mitgliedstaaten, Rechtsvorschriften zu erlassen, die bestimmte Erfordernisse der genannten Richtlinie einschränken, sofern eine solche Einschränkung für die Sicherheit des Staates, die Landesverteidigung, die öffentliche Sicherheit oder die Verhütung, Ermittlung, Feststellung und Verfolgung von Straftaten erforderlich ist.
(9)
Die Datenübermittlungen betreffen bestimmte für die Datenverarbeitung Verantwortliche, nämlich Fluggesellschaften, die Flüge zwischen der Gemeinschaft und den USA durchführen, sowie einen einzigen Empfänger in den USA, nämlich das CBP.
(10)
Jede Vereinbarung zur Schaffung einer Rechtsgrundlage für die Übermittlung von PNR in die USA, insbesondere die vorliegende Entscheidung, sollte befristet sein. Es ist eine Laufzeit von dreieinhalb Jahren vereinbart worden. Während dieses Zeitraums können sich die Rahmenbedingungen wesentlich verändern. Die Gemeinschaft und die USA sind sich darin einig, dass eine Überprüfung der Vereinbarungen erforderlich sein wird.
(11)
Die Verarbeitung personenbezogener Daten aus den dem CBP übermittelten PNR durch das CBP unterliegt den Bedingungen, die in der „Verpflichtungserklärung des Department of Homeland Security, Bureau of Customs and Border Protection (CBP)“(nachstehend „Verpflichtungserklärung“ genannt) vom 11. Mai 2004 festgelegt sind, sowie den Rechtsvorschriften der Vereinigten Staaten, die in dieser Verpflichtungserklärung aufgeführt sind.
(12)
Was das innerstaatliche Recht der Vereinigten Staaten angeht, so ist das Informationsfreiheitsgesetz (Freedom of Information Act - FOIA) in diesem Zusammenhang insofern von Bedeutung, als es die Bedingungen regelt, unter denen sich das CBP einem Offenlegungsantrag widersetzen und die PNR geheim halten darf. Darüber hinaus regelt das Gesetz die Offenlegung von PNR gegenüber den betroffenen Personen, die eng verknüpft ist mit dem Auskunftsrecht des Betroffenen. Es gilt unterschiedslos für Staatsangehörige der USA und Ausländer.
(13)
Was die Verpflichtungserklärung angeht, so werden - oder wurden bereits - gemäß deren Absatz 44 einzelne Verpflichtungen in Gesetze, Verordnungen, Richtlinien oder sonstige Anweisungen in den USA aufgenommen und haben damit bereits bzw. werden ein unterschiedliches Maß an Rechtswirkungen erhalten. Die Verpflichtungserklärung wird unter der Zuständigkeit des DHS in vollem Wortlaut im Federal Register veröffentlicht. Sie stellt eine ernsthafte und reiflich überlegte politische Verpflichtung des DHS dar, außerdem wird ihre Einhaltung einer gemeinsamen Überprüfung durch die Vereinigten Staaten und die Gemeinschaft unterzogen. Gegen eine Nichteinhaltung der Verpflichtungen könnte je nach Bedarf auf rechtlichem, administrativem und politischem Wege vorgegangen werden, wobei eine anhaltende Missachtung letztlich zur Aussetzung der Wirkung der vorliegenden Entscheidung führen würde.
(14)
Die Vorschriften, nach denen das CBP aufgrund der Gesetze der Vereinigten Staaten und der Verpflichtungserklärung die Passagierdaten aus den PNR verarbeiten werden, erfüllen die Grundanforderungen für ein angemessenes Schutzniveau für natürliche Personen.
(15)
Was den Grundsatz der Zweckbindung angeht, so werden die personenbezogenen Daten von Passagieren, die in den dem CBP übermittelten PNR enthalten sind, für einen festgelegten Zweck verwendet und anschließend nur weiterverwendet oder weiterübermittelt, soweit dies mit dem Zweck der ursprünglichen Übermittlung vereinbar ist. PNR-Daten werden ausschließlich verwendet für Zwecke der Verhütung und Bekämpfung des Terrorismus und damit verknüpfter Straftaten, anderer schwerer, ihrem Wesen nach länderübergreifender Straftaten, einschließlich der internationalen organisierten Kriminalität, und der Flucht vor Haftbefehlen bzw. vor Gewahrsamnahme im Zusammenhang mit jenen Straftaten.
(16)
Was die Grundsätze der Datenqualität und der Verhältnismäßigkeit angeht, die vor dem Hintergrund des wichtigen öffentlichen Interesses zu betrachten sind, aufgrund dessen die Übermittlung der PNR-Daten erfolgt, so werden die PNR-Daten, die an das U.S. CBP übermittelt werden, von dieser Behörde nicht im nachhinein geändert. Es werden maximal 34 PNR-Kategorien übermittelt, und die US-Behörden werden weitere Anforderungen nur nach Rücksprache mit der Kommission festlegen. Zusätzliche personenbezogene Daten, die unmittelbar aufgrund bestimmter PNR-Daten benötigt werden, werden von nichtstaatlichen Stellen nur auf rechtlich zulässige Weise eingeholt. Generell werden PNR nach spätestens 3 Jahren und 6 Monaten gelöscht; hiervon ausgenommen sind Daten, auf die für bestimmte Ermittlungen zugegriffen worden ist oder auf die anderweitig manuell zugegriffen wurde.
(17)
Was den Transparenzgrundsatz angeht, so wird das CBP die Reisenden über den Zweck der Datenübermittlung und der Datenverarbeitung informieren und ihnen Angaben über den für die Verarbeitung Verantwortlichen im Drittland sowie weitere Informationen zur Verfügung stellen.
(18)
Was den Grundsatz der Sicherheit betrifft, so wird das CBP technische und organisatorische Sicherheitsmaßnahmen ergreifen, die den mit der Verarbeitung verbundenen Risiken angemessen sind.
(19)
Die Rechte auf Auskunft und Berichtigung werden anerkannt: Die betroffene Person kann eine Kopie der PNR-Daten anfordern sowie die Berichtigung unrichtiger Daten verlangen. Die vorgesehenen Ausnahmen sind im Großen und Ganzen mit den Einschränkungen vergleichbar, die Artikel 13 der Richtlinie 95/46/EG den Mitgliedstaaten ermöglicht.
(20)
Eine Weiterübermittlung erfolgt nur von Fall zu Fall an andere - auch ausländische - staatliche Behörden mit Terrorismusbekämpfungs- oder Vollzugsaufgaben zu Zwecken, die der zugesagten Zweckbeschränkung gerecht werden. Eine Weiterübermittlung kann auch dann erfolgen wenn die Offenlegung zum Schutz lebenswichtiger Interessen des Betroffenen oder anderer Personen, insbesondere im Falle erheblicher Gesundheitsrisiken, erforderlich ist, ferner im Zusammenhang mit Strafprozessen oder aufgrund anderer gesetzlicher Erfordernisse. Behörden, welche derartige Daten empfangen, dürfen diese Daten aufgrund der ausdrücklichen Offenlegungsbestimmungen nur zu jenen Zwecken verwenden, außerdem dürfen sie die Daten nicht ohne Zustimmung des CBP weiterübermitteln. Keine andere ausländische, zentralstaatliche, bundesstaatliche oder örtliche Behörde hat direkten elektronischen Zugriff auf PNR-Daten, die in Datenbanken der CBP gespeichert sind. Das CBP wird die Offenlegung von PNR gegenüber der Allgemeinheit unter Berufung auf die Ausnahmeregelungen in den betreffenden Bestimmungen des FOIA ablehnen.
(21)
Das CBP verwendet keine sensiblen Daten im Sinne des Artikels 8 der Richtlinie 95/46/EG und verpflichtet sich, Instrumente zur Löschung solcher Daten einzuführen und die Daten in der Zwischenzeit nicht zu verwenden, bis ein Filtersystem in Betrieb genommen ist, das sie aus den an die Vereinigten Staaten übermittelten PNR herausfiltert.
(22)
Was die Durchsetzungsmechanismen angeht, die die Befolgung dieser Grundsätze durch das CBP sicherstellen sollen, so erhalten die Mitarbeiter des CBP entsprechende Schulung und Informationen, ferner ist die Möglichkeit von Sanktionen gegen einzelne Mitarbeiter vorgesehen. Im Allgemeinen wird der Chief Privacy Officer (Datenschutzbeauftragte) des DHS, bei dem es sich zwar um einen Beamten des DHS handelt, der aber organisatorisch weitgehend autonom ist und jährlich dem Kongress Bericht erstatten muss, darüber wachen, dass das CBP den Datenschutz einhält. Personen, deren PNR-Daten übermittelt worden sind, können sich mit Beschwerden entweder direkt oder über die Datenschutzbehörden in den Mitgliedstaaten an das CBP wenden oder, falls keine Lösung gefunden wird, an den Chief Privacy Officer des DHS. Das DHS Privacy Office wird sich umgehend mit den Beschwerden befassen, die die Datenschutzbehörden der Mitgliedstaaten im Auftrag in der Gemeinschaft ansässiger Betroffener an das Office richten, falls die Betroffenen zu der Auffassung gelangt sind, dass ihre Datenschutzbeschwerden nicht zufrieden stellend vom CBP oder vom DHS Privacy Office behandelt wurden. Die Einhaltung der Verpflichtungserklärung wird jährlich gemeinsam vom CBP in Zusammenarbeit mit dem DHS sowie einem von der Kommission geleiteten Team überprüft.
(23)
Im Interesse der Transparenz und um sicherzustellen, dass die zuständigen Behörden der Mitgliedstaaten in der Lage sind, den Schutz von Personen bei der Verarbeitung ihrer personenbezogenen Daten zu gewährleisten, sind - unbeschadet der Feststellung eines angemessenen Schutzniveaus - die besonderen Umstände aufzuführen, unter denen die Aussetzung bestimmter Datenströme gerechtfertigt ist.
(24)
Die Gruppe für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, die nach Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat Stellungnahmen über das von den US-Behörden für Passagierdaten gewährleistete Schutzniveau abgegeben, welche der Kommission während der Verhandlungen mit der DHS als Anleitung gedient haben. Die Kommission hat diese Stellungnahmen bei der Erarbeitung dieser Entscheidung zur Kenntnis genommen (4).
(25)
Die in dieser Entscheidung vorgesehenen Maßnahmen stehen im Einklang mit der Stellungnahme des Ausschusses, der gemäß Artikel 31 Absatz 1 der Richtlinie 95/46/EG eingesetzt wurde -
HAT FOLGENDE ENTSCHEIDUNG ERLASSEN:
Artikel 1
Im Hinblick auf Artikel 25 Absatz 2 der Richtlinie 95/46/EG wird festgestellt, dass das United States Bureau of Customs and Border Protection (CBP) auf der Grundlage der als Anhang angefügten Verpflichtungserklärung einen angemessenen Schutz bietet für PNR-Daten über Flüge in die oder aus den Vereinigten Staaten, die aus der Gemeinschaft übermittelt werden.
Artikel 2
Diese Entscheidung betrifft die Angemessenheit des Schutzes, den das CBP im Hinblick auf die Anforderungen des Artikels 25 Absatz 1 der Richtlinie 95/46/EG gewährleistet; andere zur Umsetzung sonstiger Vorschriften der Richtlinie festgelegte Bestimmungen und Einschränkungen hinsichtlich der Verarbeitung personenbezogener Daten in den Mitgliedstaaten bleiben davon unberührt.
Artikel 3
1. Unbeschadet ihres Rechts, Maßnahmen zur Durchsetzung einzelstaatlicher Vorschriften zu ergreifen, die gemäß anderen Bestimmungen als denen des Artikels 25 der Richtlinie 95/46/EG angenommen wurden, können die zuständigen Behörden in den Mitgliedstaaten von ihrem Recht Gebrauch machen, zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten die Datenübermittlung an das CBP auszusetzen,
a)
wenn eine zuständige US-Behörde feststellt, dass das CBP die geltenden Datenschutzvorschriften nicht einhält, oder
b)
wenn eine hohe Wahrscheinlichkeit besteht, dass die im Anhang enthaltenen Schutzvorschriften verletzt werden, Grund zur Annahme besteht, dass das CBP nicht rechtzeitig angemessene Maßnahmen ergreift bzw. ergreifen wird, um den betreffenden Fall zu lösen, die Fortsetzung der Datenübermittlung den betroffenen Personen einen unmittelbar bevorstehenden schweren Schaden zuzufügen droht und die zuständigen Behörden in den Mitgliedstaaten sich unter den gegebenen Umständen in angemessener Weise bemüht haben, das CBP zu benachrichtigen, und ihm Gelegenheit zur Stellungnahme gegeben haben.
2. Die Aussetzung wird beendet, sobald sichergestellt ist, dass die Datenschutzvorschriften befolgt werden und die zuständigen Behörden in den jeweiligen Mitgliedstaaten davon in Kenntnis gesetzt sind.
Artikel 4
1. Die Mitgliedstaaten informieren die Kommission unverzüglich, wenn Maßnahmen gemäß Artikel 3 ergriffen wurden.
2. Die Mitgliedstaaten und die Kommission benachrichtigen einander auch über jedwede Änderung der Datenschutzvorschriften sowie über Fälle, in denen die Maßnahmen der für die Einhaltung der Vorschriften gemäß dem Anhang durch das CBP verantwortlichen Einrichtungen nicht ausreichen, um die Einhaltung zu gewährleisten.
3. Ergeben die gemäß Artikel 3 und gemäß den Absätzen 1 und 2 des vorliegenden Artikels gewonnenen Erkenntnisse, dass die Grundanforderungen für ein angemessenes Schutzniveau für natürliche Personen nicht mehr gewährleistet sind, oder dass eine für die Einhaltung der Vorschriften gemäß dem Anhang durch das CBP verantwortliche Einrichtung ihre Aufgabe nicht wirksam erfüllt, so wird das CBP hiervon benachrichtigt und erforderlichenfalls das in Artikel 31 Absatz 2 der Richtlinie 95/46/EG genannte Verfahren zwecks Aufhebung oder Aussetzung der vorliegenden Entscheidung angewandt.
Artikel 5
Die Anwendung der vorliegenden Entscheidung wird überwacht, und relevante Erkenntnisse werden dem nach Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss mitgeteilt; dazu zählen auch Erkenntnisse, die sich auf die Beurteilung in Artikel 1 dieser Entscheidung auswirken könnten, wonach ein angemessenes Schutzniveau im Sinne des Artikels 25 der Richtlinie 95/46/EG gewährleistet ist für PNR von Fluggästen, die an das CBP übermittelt werden.
Artikel 6
Die Mitgliedstaaten ergreifen binnen vier Monaten nach der Bekanntmachung dieser Entscheidung alle für ihre Umsetzung erforderlichen Maßnahmen.
Artikel 7
Diese Entscheidung läuft 3 Jahre und 6 Monate nach dem Datum ihrer Bekanntmachung aus, es sei denn, sie wird nach dem Verfahren von Artikel 31 Absatz 2 der Richtlinie 95/46/EG verlängert.
Artikel 8
Diese Entscheidung ist an alle Mitgliedstaaten gerichtet.
Brüssel, den 14. Mai 2004