ROZHODNUTÍ KOMISE
ze dne 14. května 2004
o odpovídající úrovni ochrany osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají Úřadu USA pro cla a ochranu hranic
(oznámeno pod číslem K(2004) 1914)
(Text s významem pro EHP)
(2004/535/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 této směrnice,
vzhledem k těmto důvodům:
(1)
Směrnice 95/46/ES vyžaduje, aby členské státy stanovily, že k předávání osobních údajů do třetí země může dojít pouze tehdy, pokud dotyčná třetí země zajistí odpovídající úroveň ochrany a pokud jsou před předáním údajů dodrženy právní předpisy členských států provádějící ostatní ustanovení uvedené směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů vyhodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů se zvláštním přihlédnutím k řadě skutečností, které pro ně mají význam a jsou vyjmenovány v čl. 25 odst. 2 uvedené směrnice.
(4)
V rámci letecké dopravy se „záznamem o knihování cestujícího“ (Passenger Name Record - dále jen „PNR“) rozumí záznam o cestovních požadavcích každého cestujícího obsahující veškeré informace, jež jsou nezbytné ke zpracování a kontrole rezervací prováděné rezervačními a zúčastněnými leteckými společnostmi. Pro účely tohoto rozhodnutí zahrnuje výraz „cestující“ členy posádky. „Rezervační leteckou společností“ se rozumí letecká společnost, u níž cestující provedl původní rezervaci nebo dodatečné rezervace po zahájení své cesty. „Zúčastněnou leteckou společností“ se rozumí kterákoli letecká společnost, u níž rezervační letecká společnost požádala o zajištění místa pro cestujícího na jednom nebo více letech.
(5)
Úřad USA pro cla a ochranu hranic (United States Bureau of Customs and Border Protection - dále jen „CBP“) Ministerstva pro vnitřní bezpečnost (Department of Homeland Security - dále jen „DHS“) vyžaduje, aby mu každý letecký dopravce provozující mezinárodní osobní lety z USA nebo do USA poskytl elektronický přístup k PNR v rozsahu, v němž je tento PNR získán a obsažen v počítačovém rezervačním systému daného leteckého dopravce.
(6)
Požadavky na osobní údaje obsažené v PNR leteckého cestujícího, který má být předán CBP, vyplývají ze zákona, který USA přijaly v listopadu 2001 (2), a z prováděcích předpisů, které CBP přijal podle daného zákona (3).
(7)
Dotyčné právní předpisy USA se týkají posílení bezpečnosti a podmínek, za nichž mohou fyzické osoby vstupovat do země a opouštět ji, tedy záležitostí, o nichž mají USA pravomoc rozhodovat v rámci uplatnění své svrchovanosti. Kromě toho nejsou stanovené požadavky neslučitelné s jakýmikoli mezinárodními závazky, které USA přijaly. USA jsou demokratickým právním státem se silnou tradicí občanských svobod. O legitimitě jejich zákonodárného procesu a síle a nezávislosti jejich soudní moci není pochyb. Další silnou zárukou proti porušování občanských svobod je svoboda tisku.
(8)
Společenství je plně odhodláno podporovat USA v boji proti terorismu v mezích uložených právem Společenství. Právo Společenství vyžaduje dosažení rovnováhy mezi bezpečnostními požadavky a požadavky na soukromí. Například článek 13 směrnice 95/46/ES stanoví, že členské státy mohou přijmout legislativní opatření s cílem omezit některé požadavky uvedené směrnice v rozsahu nezbytném k zajištění bezpečnosti státu, obrany, veřejné bezpečnosti, předcházení trestným činům a jejich vyšetřování, odhalování a stíhání.
(9)
Do předávání dotyčných údajů jsou zapojeni zvláštní správci, jmenovitě letecké společnosti, které provozují lety mezi Společenstvím a USA, a pouze jeden příjemce v USA, jmenovitě CBP.
(10)
Jakékoli ujednání týkající se vytvoření právního rámce pro předávání PNR do USA, zejména prostřednictvím tohoto rozhodnutí, by mělo být časově omezeno. Bylo proto dohodnuto období tři a půl roku. Během tohoto období může dojít k výrazné změně situace a Společenství i USA se shodují, že bude nutné ujednání přezkoumat.
(11)
Zpracování osobních údajů obsažených v PNR leteckých cestujících úřadem CBP se řídí podmínkami stanovenými v Závazném prohlášení Úřadu pro cla a ochranu hranic Ministerstva pro vnitřní bezpečnost (CBP) ze dne 11. května 2004 (dále jen „závazné prohlášení“) a ve vnitrostátních právních předpisech USA v rozsahu uvedeném v závazném prohlášení.
(12)
Ve vnitrostátním právu USA má v této souvislosti význam zákon o svobodě informací (Freedom of Information Act - FOIA) v míře, v níž upravuje podmínky, za nichž může CBP odmítnout žádosti o zpřístupnění a zachovat důvěrnost PNR. Uvedený zákon upravuje poskytování PNR osobě, jíž se týká, což je úzce spojeno s právem subjektu údajů na přístup k údajům. Vztahuje se bez rozdílu na občany USA i cizince.
(13)
Ustanovení závazného prohlášení budou nebo již jsou v USA začleněna na základě jeho odstavce 44 do zákonů, nařízení, směrnic nebo jiných politických nástrojů, a proto budou mít nebo již mají různé stupně právní síly. Úplné znění závazného prohlášení bude na základě pravomoci DHS zveřejněno ve Federálním rejstříku. Jako takové představuje ze strany DHS vážný a dobře uvážený politický závazek a jeho plnění bude podléhat společnému přezkumu ze strany USA a Společenství. Proti neplnění by bylo možné postupovat příslušnými právními, administrativními a politickými cestami a v případě přetrvávajícího neplnění by došlo k pozastavení účinků tohoto rozhodnutí.
(14)
Normy, podle nichž bude CBP zpracovávat údaje obsažené v PNR cestujících na základě právních předpisů USA a závazného prohlášení, obsahují základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob.
(15)
Pokud jde o zásadu účelového omezení, budou osobní údaje leteckých cestujících obsažené v PNR předaném CBP zpracovány pro zvláštní účel a dále využity nebo sděleny pouze v tom rozsahu, který není neslučitelný s účely předání. Obzvláště pak budou údaje obsažené v PNR využity výhradně pro účely předcházení a potírání terorismu a související trestné činnosti, jiných závažných trestných činů nadnárodní povahy včetně organizovaného zločinu a útěku před zatykačem nebo soudní vazbou pro tyto trestné činy.
(16)
Pokud jde o zásadu kvality údajů a přiměřenosti, kterou je třeba vzít v úvahu ve vztahu k závažným důvodům veřejného zájmu, kvůli nimž se údaje PNR předávají, nebude CBP následně měnit údaje obsažené v PNR, který mu byl poskytnut. Bude se předávat maximálně 34 kategorií údajů PNR a orgány USA budou konzultovat Komisi dříve, než se rozhodnou přidat jakékoli nové požadavky. Dodatečné osobní informace, které budou vyhledávány v důsledku údajů obsažených v PNR, budou získávány z mimovládních zdrojů pouze zákonnými cestami. Obecně platí, že PNR bude po nejvýše třech letech a šesti měsících vymazán s výjimkou údajů, které byly vyhledány z důvodů zvláštního vyšetřování nebo jinak ručně vyhledány.
(17)
Pokud jde o zásadu transparentnosti, poskytne CBP cestujícím informace o účelu předávání a zpracování, o totožnosti správce údajů ve třetí zemi a další informace.
(18)
Pokud jde o zásadu bezpečnosti, přijme CBP taková technická a organizační opatření, která jsou přiměřená rizikům, jež obnáší zpracování.
(19)
Jsou uznána práva na přístup a opravu v té podobě, že si subjekt údajů může vyžádat kopii údajů PNR a požadovat opravu nepřesných údajů. Předpokládané výjimky jsou vesměs srovnatelné s omezeními, která mohou členské státy zavést podle článku 13 směrnice 95/46/ES.
(20)
Údaje lze v jednotlivých případech dále předat jiným vládním orgánům odpovědným za boj proti terorismu nebo za výkon veřejné moci, včetně orgánů zahraničních vlád, pro účely, které odpovídají účelům vymezeným v ustanovení o účelovém omezení. Údaje mohou být také předány z důvodů ochrany životně důležitých zájmů subjektu údajů nebo jiných osob, zejména pokud jde o závažná zdravotní rizika nebo o zájmy v jakémkoli trestním soudním řízení, nebo je-li tak jinak vyžadováno ze zákona. Přijímající úřady jsou podle výslovných podmínek zpřístupnění povinny využít údaje pouze k těmto účelům a nepředávat údaje dále bez souhlasu CBP. Do databáze CBP nemá přímý elektronický přístup žádný jiný zahraniční, federální, státní nebo místní úřad. CBP odmítne veřejné zpřístupnění PNR na základě výjimek z příslušných ustanovení zákona o svobodě informací.
(21)
CBP nevyužije citlivé údaje ve smyslu článku 8 směrnice 95/46/ES a zavazuje se, že dokud nebude fungovat systém filtrů na vyřazení takových údajů z PNR předávaných do USA, zavede prostředky na jejich vymazání a nebude je využívat.
(22)
Pokud jde o mechanismus, který má zajistit dodržování těchto zásad ze strany CBP, je zajištěno školení a informování zaměstnanců CBP a jsou stanoveny postihy pro jednotlivé zaměstnance. Zachování soukromí ze strany CBP bude obecně pod kontrolou vedoucího Úřadu na ochranu soukromí DHS (DHS Chief Privacy Officer), který je sice úředníkem DHS, ale je do velké míry organizačně samostatný a musí každý rok předkládat zprávu Kongresu. Osoby, jejichž údaje PNR byly předány, mohou zasílat své stížnosti CBP nebo, pokud jim nebude vyhověno, vedoucímu Úřadu na ochranu soukromí DHS, a to buď přímo, nebo prostřednictvím úřadů na ochranu údajů v členských státech. Úřad pro ochranu soukromí DHS (DHS Privacy Office) bude urychleně vyřizovat stížnosti, které mu předají úřady na ochranu údajů v členských státech jménem osob, které mají pobyt ve Společenství, pokud se tyto osoby domnívají, že CBP nebo Úřad na ochranu soukromí DHS jejich stížnost nevyřídily uspokojivě. Dodržování závazného prohlášení bude společně přezkoumáno CBP spolu s DHS a skupinou vedenou Komisí.
(23)
V zájmu transparentnosti a s cílem zachovat schopnost příslušných orgánů v členských státech zajistit ochranu jednotlivců, pokud jde o zpracování jejich osobních údajů, je nutné upřesnit výjimečné okolnosti, za nichž je možné odůvodnit pozastavení konkrétních toků údajů nezávisle na tom, zda úroveň ochrany byla shledána jako odpovídající.
(24)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, která byla zřízena podle článku 29 směrnice 95/46/ES, vydala stanoviska o úrovni ochrany poskytované údajům cestujících ze strany orgánů USA, jimiž se Komise řídila při jednání s DHS. Komise vzala tato stanoviska na vědomí při přípravě tohoto rozhodnutí (4).
(25)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Pro účely čl. 25 odst. 2 směrnice 95/46/ES se má za to, že Úřad USA pro cla a ochranu hranic (United States’ Bureau of Customs and Border Protection - dále jen „CBP“) zajišťuje odpovídající úroveň ochrany údajů PNR předávaných ze Společenství v souvislosti s lety do USA nebo z USA v souladu se závazným prohlášením uvedeným v příloze.
Článek 2
Toto rozhodnutí se týká odpovídající úrovně ochrany poskytované úřadem CBP v souvislosti s plněním požadavků čl. 25 odst. 1 směrnice 95/46/ES a nemá vliv na ostatní podmínky nebo omezení, jimiž se provádějí jiná ustanovení uvedené směrnice související se zpracováním osobních údajů v členských státech.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států činit kroky na zajištění souladu s vnitrostátními předpisy přijatými podle jiných ustanovení než článku 25 směrnice 95/46/ES, mohou příslušné orgány členských států využít svou stávající pravomoc pozastavit tok údajů do CBP s cílem ochránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v následujících případech:
a)
pokud příslušný orgán USA stanovil, že CBP porušuje platné normy ochrany, nebo
b)
pokud existuje vysoká pravděpodobnost, že jsou porušovány normy ochrany stanovené v příloze, existují rozumné důvody k domněnce, že CBP nečiní nebo neučiní přiměřené a včasné kroky na vyřešení daného případu, pokračující předávání by vytvořilo bezprostřední nebezpečí vážné újmy subjektu údajů a příslušné orgány členského státu vynaložily v dané situaci rozumné úsilí na doručení upozornění CBP a poskytly mu příležitost k reakci.
2. Pozastavení skončí, jakmile bude zajištěno dodržování norem ochrany a toto bude oznámeno příslušným orgánům dotyčného členského státu.
Článek 4
1. Členské státy neprodleně informují Komisi, když přijmou opatření podle článku 3.
2. Členské státy a Komise se vzájemně informují o jakýchkoli změnách norem ochrany a o případech, v nichž činnost odpovědných orgánů nezajistila dodržování norem ochrany ze strany CBP v souladu s přílohou.
3. Jestliže informace získané podle článku 3 a podle odstavců 1 a 2 tohoto článku poskytnou skutečnosti prokazující, že přestaly být dodržovány základní zásady nutné pro odpovídající úroveň ochrany fyzických osob nebo že jakýkoli orgán odpovědný za zajišťování dodržování norem ochrany ze strany CBP v souladu s přílohou neplní účinně svou úlohu, bude o tom CBP informován a v případě potřeby se použije postup uvedený v čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit nebo pozastavit toto rozhodnutí.
Článek 5
Fungování tohoto rozhodnutí bude sledováno a jakákoli související zjištění budou oznámena výboru zřízenému podle článku 31 směrnice 95/46/ES včetně jakýchkoli průkazných skutečností, které by mohly ovlivnit závěr uvedený v článku 1 tohoto rozhodnutí, podle něhož je ochrana osobních údajů obsažených v PNR leteckých cestujících, které se předávají CPB, odpovídající ve smyslu článku 25 směrnice 95/46/ES.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do čtyř měsíců od data jeho oznámení.
Článek 7
Použitelnost tohoto rozhodnutí skončí tři roky a šest měsíců po datu jeho oznámení, pokud nebude prodlouženo v souladu s postupem stanoveným v čl. 31 odst. 2 směrnice 95/46/ES.
Článek 8
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 14. května 2004.
DECISIONE DELLA COMMISSIONE
del 14 maggio 2004
relativa al livello di protezione adeguato dei dati personali contenuti nelle schede nominative dei passeggeri aerei trasferiti all'Ufficio delle dogane e della protezione delle frontiere degli Stati Uniti United States' Bureau of Customs and Border Protection
[notificata con il numero C(2004) 1914]
(Testo rilevante ai fini del SEE)
(2004/535/CE)
LA COMMISSIONE DELLE COMUNITÀ EUROPEE,
visto il trattato che istituisce la Comunità europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l'articolo 25, paragrafo 6,
considerando quanto segue:
(1)
In virtù della direttiva 95/46/CE gli Stati membri dispongono che la trasmissione di dati personali ad un paese terzo possa aver luogo soltanto se il paese terzo di cui si tratta garantisce un livello di protezione adeguato e se le leggi nazionali di attuazione delle altre disposizioni della direttiva sono rispettate prima della trasmissione.
(2)
La Commissione può constatare che un paese terzo garantisce un livello di protezione adeguato. Sulla base di tale constatazione, dati personali possono essere trasmessi dagli Stati membri senza che sia necessaria alcuna garanzia supplementare.
(3)
In virtù della direttiva 95/46/CE il livello di protezione dei dati è valutato con riguardo a tutte le circostanze relative ad una trasmissione o a una categoria di trasmissioni di dati e tenendo conto, in particolare, delle condizioni elencate all'articolo 25, paragrafo 2.
(4)
Nell'ambito dei trasporti aerei, la scheda nominativa del passeggero (Passenger Name Record, nel prosieguo «PNR») è una scheda comprendente le informazioni relative al viaggio di ciascun passeggero. Essa contiene tutte le informazioni necessarie per consentire il trattamento e il controllo delle prenotazioni da parte delle compagnie aeree della prenotazione e delle compagnie aeree partecipanti. Ai fini della presente decisione i termini «passeggero» e «passeggeri» comprendono i membri dell'equipaggio. Per «compagnia aerea della prenotazione» s'intende la compagnia aerea presso la quale il passeggero ha fatto la sua prenotazione originale, o presso la quale delle prenotazioni addizionali sono state fatte dopo l'inizio del viaggio. Per «compagnie aeree partecipanti» s'intende qualsiasi compagnia aerea alla quale la compagnia aerea della prenotazione ha chiesto un posto per un passeggero su uno o vari voli.
(5)
L'ufficio statunitense delle dogane e della protezione delle frontiere (United States Bureau of Customs and Border Protection, nel prosieguo «CBP») del ministero della Sicurezza interna (Department of Homeland Security) richiede a ciascuna compagnia aerea che garantisce un servizio internazionale di trasporto di passeggeri con destinazione o in partenza dagli Stati Uniti di fornirgli un accesso elettronico ai dati PNR, nella misura in cui tali dati siano stati raccolti e memorizzati nei sistemi informatici di prenotazione della compagnia aerea.
(6)
L'obbligo di trasmissione dei dati personali contenuti nei PNR dei passeggeri aerei al CBP si basa su una legge adottata dagli Stati Uniti nel novembre 2001 (2), e su regolamenti di attuazione adottati dal CBP in base a tale legge (3).
(7)
La legislazione statunitense in questione riguarda il rafforzamento della sicurezza, nonché le condizioni di ingresso negli Stati Uniti e di uscita dal paese. Si tratta di questioni su cui gli Stati Uniti hanno un potere di decisione nell'ambito della propria sovranità. Del resto tali esigenze non sono incompatibili con gli impegni internazionali che il paese ha contratto. Gli Stati Uniti sono un paese democratico, governato dal principio dello stato di diritto e dotato di una solida tradizione in materia di libertà civili. La legittimità del suo procedimento legislativo e la forza e l'indipendenza del suo apparato giudiziario non sono in discussione. La libertà di stampa costituisce un'ulteriore solida garanzia contro le violazioni delle libertà civili.
(8)
La Comunità sostiene pienamente gli Stati Uniti nella loro lotta contro il terrorismo nei limiti imposti dal diritto comunitario. La legislazione comunitaria provvede a trovare l'equilibrio necessario tra le esigenze della sicurezza e il rispetto della vita privata. Ad esempio, l'articolo 13 della direttiva 95/46/CE consente agli Stati membri di adottare le misure legislative intese a limitare la portata degli obblighi e dei diritti previsti da tale direttiva, qualora tale restrizione sia giustificata dalla necessità di salvaguardare la sicurezza dello Stato, la difesa, la pubblica sicurezza, nonché la prevenzione, le indagini, l'accertamento e la punizione di reati.
(9)
Le trasmissioni di dati riguardano dei responsabili specifici del trattamento, vale a dire le compagnie aeree che garantiscono i collegamenti tra la Comunità e gli Stati Uniti, e un solo destinatario negli Stati Uniti, vale a dire il CBP.
(10)
Qualunque accordo volto a stabilire una disciplina normativa per le trasmissioni di PNR agli Stati Uniti, in particolare attraverso la presente decisione, deve essere limitato nel tempo. È stato concordato un periodo di tre anni e mezzo. Nel corso di tale lasso di tempo, il contesto può cambiare in modo radicale e la Comunità e gli Stati Uniti convengono che è necessaria una futura revisione degli accordi.
(11)
Il trattamento da parte del CBP dei dati personali contenuti nei PNR dei passeggeri aerei che gli sono inviati è disciplinato dalle disposizioni che figurano nella «Dichiarazione d'impegno del ministero della Sicurezza interna (Department for Homeland Security) - Ufficio delle dogane e della protezione delle frontiere (CBP) dell'11 maggio 2004» (nel prosieguo «la dichiarazione d'impegno») e dalla legislazione americana, alle condizioni previste dalla dichiarazione d'impegno.
(12)
Per quanto riguarda la legislazione americana, la legge sulla libertà d'informazione (Freedom of Information Act) è rilevante nel contesto attuale nella misura in cui disciplina le condizioni alle quali il CBP può opporsi alle domande di trasmissioni di dati e trattare in tale modo i dati dei PNR in modo confidenziale. Detta legge disciplina inoltre la trasmissione dei PNR alle persone interessate, elemento che è strettamente collegato al diritto di accesso di cui esse dispongono. La legge sulla libertà d'informazione si applica senza distinzione ai cittadini americani e stranieri.
(13)
Per quanto riguarda la dichiarazione d'impegno, e conformemente a quanto previsto al paragrafo 44, le disposizioni della dichiarazione sono state o saranno recepite da leggi, direttive o altri atti normativi negli Stati Uniti e hanno, pertanto, diversi gradi di efficacia giuridica. La dichiarazione d'impegno è pubblicata integralmente nel registro federale sotto la responsabilità del ministero della Sicurezza interna. Essa rappresenta indubbiamente un impegno politico serio e maturo da parte del ministero della Sicurezza interna e il suo rispetto è controllato congiuntamente dagli Stati Uniti e dalla Comunità. L'inadempimento può essere eventualmente fatto valere attraverso mezzi giuridici, amministrativi e politici e, se persistente, comporta la sospensione degli effetti della presente decisione.
(14)
I criteri in virtù dei quali il CBP tratta i dati PNR dei passeggeri sulla base della legislazione americana e della dichiarazione d'impegno comprendono i principi fondamentali necessari per assicurare un livello di protezione adeguato delle persone fisiche.
(15)
Per quanto riguarda la limitazione delle trasmissioni di dati ad una finalità specifica, i dati personali dei passeggeri aerei contenuti nei PNR che sono trasmessi al CBP sono trattati per uno scopo specifico e sono utilizzati o comunicati ulteriormente soltanto nella misura in cui ciò non sia incompatibile con la finalità della trasmissione. In particolare, i dati dei PNR devono essere utilizzati al solo scopo di prevenire e di combattere il terrorismo e i reati collegati al terrorismo, altri reati gravi, compresa la criminalità organizzata transnazionale, la fuga in caso di mandato d'arresto emesso o di pena detentiva comminata per quei reati.
(16)
Per quanto riguarda la qualità dei dati e il principio di proporzionalità, che devono essere considerati in rapporto agli importanti motivi d'interesse pubblico che giustificano la trasmissione dei dati dei PNR, i dati dei PNR non devono essere ulteriormente modificati dal CBP. Un massimo di trentaquattro categorie di dati PNR sono trasmesse e le autorità americane sono tenute a consultare la Commissione prima di aggiungere nuovi elementi. Ulteriori informazioni personali ricercate sulla base di quanto è stato direttamente ricavato dai dati PNR sono ottenute da fonti diverse da quelle governative soltanto mediante ricorso a mezzi legittimi. In linea generale, i PNR sono cancellati dopo un periodo massimo di tre anni e sei mesi, ad eccezione dei dati consultati nell'ambito di inchieste specifiche ovvero manualmente.
(17)
Per quanto riguarda il principio di trasparenza, il CBP fornisce informazioni ai viaggiatori in merito alla finalità della trasmissione e del trattamento, nonché all'identità del responsabile del trattamento nel paese terzo, ed altre informazioni.
(18)
Per quanto riguarda il principio di sicurezza, il CBP adotta le misure di sicurezza tecniche e organizzative adeguate al rischio presentato dal trattamento.
(19)
Il diritto di accesso e di rettifica sono riconosciuti, in quanto le persone interessate possono chiedere una copia dei loro dati PNR, nonché una rettifica dei dati inesatti. Le eccezioni previste sono in linea di massima paragonabili alle restrizioni che possono essere imposte da uno Stato membro in forza dell'articolo 13 della direttiva 95/46/CE.
(20)
Le trasmissioni successive di dati vengono effettuate, caso per caso, ad altre autorità governative, anche di altri paesi, incaricate della lotta contro il terrorismo o dell'applicazione della legge, per finalità corrispondenti a quelle stabilite nella dichiarazione di limitazione ad una finalità specifica. Le trasmissioni possono anche essere effettuate ai fini della protezione degli interessi vitali della persona interessata o di altre persone, in particolare nei casi di importanti rischi sanitari o nell'ambito di un procedimento penale o negli altri casi previsti dalla legge. Le autorità che ricevono i dati devono, in virtù delle condizioni esplicite di diffusione, impiegare i dati unicamente ai fini previsti e non possono procedere ad una trasmissione successiva senza l'accordo delle CBP. Nessun'altra autorità straniera, federale, statale o locale dispone di un accesso elettronico diretto ai dati del PNR attraverso le basi di dati del CBP. Il CBP si oppone alla divulgazione pubblica dei PNR sulla base delle deroghe previste dalle relative disposizioni della legge sulla libertà di informazione.
(21)
Il CBP non utilizza i dati sensibili di cui all'articolo 8 della direttiva 95/46/CE e, in attesa della creazione di un sistema di selezione che consenta di escludere tali dati dai PNR trasferiti, si impegna ad introdurre gli strumenti per la loro cancellazione e nel frattempo a non utilizzarli.
(22)
Per quanto riguarda i meccanismi di attuazione volti a garantire il rispetto di questi principi da parte del CBP, è previsto un sistema di formazione e d'informazione del personale del CBP, nonché di sanzioni per i membri del personale. Il rispetto da parte del CBP della vita privata in generale sarà controllato dal responsabile della Protezione della vita privata (Chief Privacy Officer) presso il ministero della Sicurezza interna, il quale, pur essendo un funzionario di tale ministero, dispone di un'ampia autonomia organizzativa e deve rendere conto ogni anno al Congresso. Le persone i cui dati PNR sono stati trasmessi possono inviare i loro reclami al CBP o, in caso di mancata risoluzione, al responsabile della Protezione della vita privata, direttamente o tramite le autorità incaricate della protezione dei dati negli Stati membri. L'ufficio responsabile della Protezione della vita privata del ministero della Sicurezza interna esamina con procedura d'urgenza i reclami che gli sono trasmessi dalle autorità incaricate della protezione dei dati negli Stati membri a nome dei residenti della Comunità, se questi ultimi ritengono che i loro reclami non siano stati trattati in modo soddisfacente dal CBP o dall'ufficio responsabile della protezione della vita privata del ministero della Sicurezza interna. Il rispetto della dichiarazione d'impegno è oggetto di un esame annuale congiunto, effettuato dal CBP in collaborazione con il ministero della Sicurezza interna e da un gruppo diretto dalla Commissione.
(23)
Al fine di contribuire alla trasparenza e di assicurare la capacità delle autorità competenti negli Stati membri di garantire la protezione degli individui per quanto riguarda il trattamento dei loro dati personali, è opportuno precisare le circostanze eccezionali nelle quali la sospensione di specifici flussi di dati possa essere giustificata, indipendentemente dalla constatazione del livello di protezione adeguato.
(24)
Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito dall'articolo 29 della direttiva 95/46/CE, ha espresso numerosi pareri sul livello di protezione garantito dalle autorità americane per quanto riguarda i dati PNR, i quali hanno guidato la Commissione nel corso del negoziato con il ministero della Sicurezza interna. La Commissione ha preso atto di questi pareri nell'elaborazione di questa decisione (4).
(25)
Le misure di cui alla presente decisone sono conformi al parere del comitato istituito dall'articolo 31, paragrafo 1, della direttiva 95/46/CE,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Ai fini dell'articolo 25, paragrafo 2, della direttiva 95/46/CE, l'Ufficio statunitense delle dogane e della protezione delle frontiere (CBP) è considerato in grado di garantire un livello di protezione adeguato dei dati delle schede nominative dei passeggeri (PNR) trasmessi dalla Comunità per quanto riguarda i voli con destinazione o partenza dagli Stati Uniti, conformemente alla dichiarazione d'impegno che figura nell'allegato.
Articolo 2
La presente decisione riguarda il livello di protezione adeguato garantito dal CBP al fine di rispondere ai requisiti posti dall'articolo 25, paragrafo 1, della direttiva 95/46/CE e non incide sulle condizioni o restrizioni imposte in attuazione di altre disposizioni della direttiva e che si applicano al trattamento di dati personali negli Stati membri.
Articolo 3
1. Fatti salvi i poteri che consentono loro di adottare misure volte a garantire il rispetto delle disposizioni nazionali adottate conformemente alle disposizioni diverse dall'articolo 25 della direttiva 95/46/CE, le autorità competenti degli Stati membri possono esercitare i poteri di cui dispongono attualmente per sospendere la trasmissione di dati al CBP al fine di proteggere le persone fisiche per quanto riguarda il trattamento dei loro dati personali in uno dei casi seguenti:
a)
quando un'autorità degli Stati Uniti competente ha accertato che il CBP non rispetta le norme in materia di protezione;
b)
quando è probabile che le norme di protezione stabilite nell'allegato I non siano rispettate; quando vi sono motivi ragionevoli di credere che il CBP non adotta o non adotterà, in tempi opportuni, le misure che s'impongono per regolare il caso in questione; quando il proseguimento della trasmissione di dati comporterebbe un rischio imminente di grave pregiudizio per le persone interessate e le autorità competenti dello Stato membro si sono ragionevolmente sforzate, in tali circostanze, di avvertire il CBP e di dargli la possibilità di rispondere.
2. La sospensione della trasmissione cessa dal momento in cui è garantita l'applicazione delle norme di protezione e l'autorità competente interessata negli Stati membri ne è avvertita.
Articolo 4
1. Gli Stati membri informano immediatamente la Commissione in merito alle misure adottate in forza dell'articolo 3.
2. Gli Stati membri e la Commissione si informano reciprocamente in merito a qualsiasi modificazione delle norme di protezione e ai casi nei quali le misure adottate dalle autorità incaricate di assicurare il rispetto da parte del CBP delle norme di protezione stabilite nell'allegato I non siano sufficienti a garantire tale rispetto.
3. Se le informazioni raccolte in virtù dell'articolo 3 e dei paragrafi 1 e 2 del presente articolo dimostrano che principi fondamentali necessari per assicurare un livello di protezione adeguato delle persone fisiche non sono più rispettati, o che un qualunque organismo incaricato di assicurare il rispetto da parte del CBP delle norme di protezione stabilite nell'allegato non svolge efficacemente la sua missione, il CBP ne sarà informato e, se necessario, si applica la procedura di cui all'articolo 31, paragrafo 2, della direttiva 95/46/CE, al fine di revocare o sospendere la presente decisione.
Articolo 5
L'applicazione della presente decisione è oggetto di un controllo sistematico e le constatazioni relative sono comunicate al comitato istituito dall'articolo 31 della direttiva 95/46/CE, con particolare riguardo ad elementi che possano incidere sulla valutazione di cui all'articolo 1 della presente decisione relativa all'adeguatezza del livello di protezione dei dati personali contenuti nei PNR dei passeggeri aerei trasmessi al CBP in forza dell'articolo 25 della direttiva 95/46/CE.
Articolo 6
Gli Stati membri adottano tutte le misure necessarie per conformarsi alla presente decisione entro quattro mesi a decorrere dalla notificazione della medesima.
Articolo 7
La presente decisione scade tre anni e sei mesi dopo la data della sua notificazione, a meno che la sua vigenza non sia prorogata secondo la procedura di cui all'articolo 31, paragrafo 2, della direttiva 95/46/CE.
Articolo 8
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 14 maggio 2004.