ROZHODNUTÍ KOMISE
ze dne 14. května 2004
o odpovídající úrovni ochrany osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají Úřadu USA pro cla a ochranu hranic
(oznámeno pod číslem K(2004) 1914)
(Text s významem pro EHP)
(2004/535/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 této směrnice,
vzhledem k těmto důvodům:
(1)
Směrnice 95/46/ES vyžaduje, aby členské státy stanovily, že k předávání osobních údajů do třetí země může dojít pouze tehdy, pokud dotyčná třetí země zajistí odpovídající úroveň ochrany a pokud jsou před předáním údajů dodrženy právní předpisy členských států provádějící ostatní ustanovení uvedené směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů vyhodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů se zvláštním přihlédnutím k řadě skutečností, které pro ně mají význam a jsou vyjmenovány v čl. 25 odst. 2 uvedené směrnice.
(4)
V rámci letecké dopravy se „záznamem o knihování cestujícího“ (Passenger Name Record - dále jen „PNR“) rozumí záznam o cestovních požadavcích každého cestujícího obsahující veškeré informace, jež jsou nezbytné ke zpracování a kontrole rezervací prováděné rezervačními a zúčastněnými leteckými společnostmi. Pro účely tohoto rozhodnutí zahrnuje výraz „cestující“ členy posádky. „Rezervační leteckou společností“ se rozumí letecká společnost, u níž cestující provedl původní rezervaci nebo dodatečné rezervace po zahájení své cesty. „Zúčastněnou leteckou společností“ se rozumí kterákoli letecká společnost, u níž rezervační letecká společnost požádala o zajištění místa pro cestujícího na jednom nebo více letech.
(5)
Úřad USA pro cla a ochranu hranic (United States Bureau of Customs and Border Protection - dále jen „CBP“) Ministerstva pro vnitřní bezpečnost (Department of Homeland Security - dále jen „DHS“) vyžaduje, aby mu každý letecký dopravce provozující mezinárodní osobní lety z USA nebo do USA poskytl elektronický přístup k PNR v rozsahu, v němž je tento PNR získán a obsažen v počítačovém rezervačním systému daného leteckého dopravce.
(6)
Požadavky na osobní údaje obsažené v PNR leteckého cestujícího, který má být předán CBP, vyplývají ze zákona, který USA přijaly v listopadu 2001 (2), a z prováděcích předpisů, které CBP přijal podle daného zákona (3).
(7)
Dotyčné právní předpisy USA se týkají posílení bezpečnosti a podmínek, za nichž mohou fyzické osoby vstupovat do země a opouštět ji, tedy záležitostí, o nichž mají USA pravomoc rozhodovat v rámci uplatnění své svrchovanosti. Kromě toho nejsou stanovené požadavky neslučitelné s jakýmikoli mezinárodními závazky, které USA přijaly. USA jsou demokratickým právním státem se silnou tradicí občanských svobod. O legitimitě jejich zákonodárného procesu a síle a nezávislosti jejich soudní moci není pochyb. Další silnou zárukou proti porušování občanských svobod je svoboda tisku.
(8)
Společenství je plně odhodláno podporovat USA v boji proti terorismu v mezích uložených právem Společenství. Právo Společenství vyžaduje dosažení rovnováhy mezi bezpečnostními požadavky a požadavky na soukromí. Například článek 13 směrnice 95/46/ES stanoví, že členské státy mohou přijmout legislativní opatření s cílem omezit některé požadavky uvedené směrnice v rozsahu nezbytném k zajištění bezpečnosti státu, obrany, veřejné bezpečnosti, předcházení trestným činům a jejich vyšetřování, odhalování a stíhání.
(9)
Do předávání dotyčných údajů jsou zapojeni zvláštní správci, jmenovitě letecké společnosti, které provozují lety mezi Společenstvím a USA, a pouze jeden příjemce v USA, jmenovitě CBP.
(10)
Jakékoli ujednání týkající se vytvoření právního rámce pro předávání PNR do USA, zejména prostřednictvím tohoto rozhodnutí, by mělo být časově omezeno. Bylo proto dohodnuto období tři a půl roku. Během tohoto období může dojít k výrazné změně situace a Společenství i USA se shodují, že bude nutné ujednání přezkoumat.
(11)
Zpracování osobních údajů obsažených v PNR leteckých cestujících úřadem CBP se řídí podmínkami stanovenými v Závazném prohlášení Úřadu pro cla a ochranu hranic Ministerstva pro vnitřní bezpečnost (CBP) ze dne 11. května 2004 (dále jen „závazné prohlášení“) a ve vnitrostátních právních předpisech USA v rozsahu uvedeném v závazném prohlášení.
(12)
Ve vnitrostátním právu USA má v této souvislosti význam zákon o svobodě informací (Freedom of Information Act - FOIA) v míře, v níž upravuje podmínky, za nichž může CBP odmítnout žádosti o zpřístupnění a zachovat důvěrnost PNR. Uvedený zákon upravuje poskytování PNR osobě, jíž se týká, což je úzce spojeno s právem subjektu údajů na přístup k údajům. Vztahuje se bez rozdílu na občany USA i cizince.
(13)
Ustanovení závazného prohlášení budou nebo již jsou v USA začleněna na základě jeho odstavce 44 do zákonů, nařízení, směrnic nebo jiných politických nástrojů, a proto budou mít nebo již mají různé stupně právní síly. Úplné znění závazného prohlášení bude na základě pravomoci DHS zveřejněno ve Federálním rejstříku. Jako takové představuje ze strany DHS vážný a dobře uvážený politický závazek a jeho plnění bude podléhat společnému přezkumu ze strany USA a Společenství. Proti neplnění by bylo možné postupovat příslušnými právními, administrativními a politickými cestami a v případě přetrvávajícího neplnění by došlo k pozastavení účinků tohoto rozhodnutí.
(14)
Normy, podle nichž bude CBP zpracovávat údaje obsažené v PNR cestujících na základě právních předpisů USA a závazného prohlášení, obsahují základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob.
(15)
Pokud jde o zásadu účelového omezení, budou osobní údaje leteckých cestujících obsažené v PNR předaném CBP zpracovány pro zvláštní účel a dále využity nebo sděleny pouze v tom rozsahu, který není neslučitelný s účely předání. Obzvláště pak budou údaje obsažené v PNR využity výhradně pro účely předcházení a potírání terorismu a související trestné činnosti, jiných závažných trestných činů nadnárodní povahy včetně organizovaného zločinu a útěku před zatykačem nebo soudní vazbou pro tyto trestné činy.
(16)
Pokud jde o zásadu kvality údajů a přiměřenosti, kterou je třeba vzít v úvahu ve vztahu k závažným důvodům veřejného zájmu, kvůli nimž se údaje PNR předávají, nebude CBP následně měnit údaje obsažené v PNR, který mu byl poskytnut. Bude se předávat maximálně 34 kategorií údajů PNR a orgány USA budou konzultovat Komisi dříve, než se rozhodnou přidat jakékoli nové požadavky. Dodatečné osobní informace, které budou vyhledávány v důsledku údajů obsažených v PNR, budou získávány z mimovládních zdrojů pouze zákonnými cestami. Obecně platí, že PNR bude po nejvýše třech letech a šesti měsících vymazán s výjimkou údajů, které byly vyhledány z důvodů zvláštního vyšetřování nebo jinak ručně vyhledány.
(17)
Pokud jde o zásadu transparentnosti, poskytne CBP cestujícím informace o účelu předávání a zpracování, o totožnosti správce údajů ve třetí zemi a další informace.
(18)
Pokud jde o zásadu bezpečnosti, přijme CBP taková technická a organizační opatření, která jsou přiměřená rizikům, jež obnáší zpracování.
(19)
Jsou uznána práva na přístup a opravu v té podobě, že si subjekt údajů může vyžádat kopii údajů PNR a požadovat opravu nepřesných údajů. Předpokládané výjimky jsou vesměs srovnatelné s omezeními, která mohou členské státy zavést podle článku 13 směrnice 95/46/ES.
(20)
Údaje lze v jednotlivých případech dále předat jiným vládním orgánům odpovědným za boj proti terorismu nebo za výkon veřejné moci, včetně orgánů zahraničních vlád, pro účely, které odpovídají účelům vymezeným v ustanovení o účelovém omezení. Údaje mohou být také předány z důvodů ochrany životně důležitých zájmů subjektu údajů nebo jiných osob, zejména pokud jde o závažná zdravotní rizika nebo o zájmy v jakémkoli trestním soudním řízení, nebo je-li tak jinak vyžadováno ze zákona. Přijímající úřady jsou podle výslovných podmínek zpřístupnění povinny využít údaje pouze k těmto účelům a nepředávat údaje dále bez souhlasu CBP. Do databáze CBP nemá přímý elektronický přístup žádný jiný zahraniční, federální, státní nebo místní úřad. CBP odmítne veřejné zpřístupnění PNR na základě výjimek z příslušných ustanovení zákona o svobodě informací.
(21)
CBP nevyužije citlivé údaje ve smyslu článku 8 směrnice 95/46/ES a zavazuje se, že dokud nebude fungovat systém filtrů na vyřazení takových údajů z PNR předávaných do USA, zavede prostředky na jejich vymazání a nebude je využívat.
(22)
Pokud jde o mechanismus, který má zajistit dodržování těchto zásad ze strany CBP, je zajištěno školení a informování zaměstnanců CBP a jsou stanoveny postihy pro jednotlivé zaměstnance. Zachování soukromí ze strany CBP bude obecně pod kontrolou vedoucího Úřadu na ochranu soukromí DHS (DHS Chief Privacy Officer), který je sice úředníkem DHS, ale je do velké míry organizačně samostatný a musí každý rok předkládat zprávu Kongresu. Osoby, jejichž údaje PNR byly předány, mohou zasílat své stížnosti CBP nebo, pokud jim nebude vyhověno, vedoucímu Úřadu na ochranu soukromí DHS, a to buď přímo, nebo prostřednictvím úřadů na ochranu údajů v členských státech. Úřad pro ochranu soukromí DHS (DHS Privacy Office) bude urychleně vyřizovat stížnosti, které mu předají úřady na ochranu údajů v členských státech jménem osob, které mají pobyt ve Společenství, pokud se tyto osoby domnívají, že CBP nebo Úřad na ochranu soukromí DHS jejich stížnost nevyřídily uspokojivě. Dodržování závazného prohlášení bude společně přezkoumáno CBP spolu s DHS a skupinou vedenou Komisí.
(23)
V zájmu transparentnosti a s cílem zachovat schopnost příslušných orgánů v členských státech zajistit ochranu jednotlivců, pokud jde o zpracování jejich osobních údajů, je nutné upřesnit výjimečné okolnosti, za nichž je možné odůvodnit pozastavení konkrétních toků údajů nezávisle na tom, zda úroveň ochrany byla shledána jako odpovídající.
(24)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, která byla zřízena podle článku 29 směrnice 95/46/ES, vydala stanoviska o úrovni ochrany poskytované údajům cestujících ze strany orgánů USA, jimiž se Komise řídila při jednání s DHS. Komise vzala tato stanoviska na vědomí při přípravě tohoto rozhodnutí (4).
(25)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Pro účely čl. 25 odst. 2 směrnice 95/46/ES se má za to, že Úřad USA pro cla a ochranu hranic (United States’ Bureau of Customs and Border Protection - dále jen „CBP“) zajišťuje odpovídající úroveň ochrany údajů PNR předávaných ze Společenství v souvislosti s lety do USA nebo z USA v souladu se závazným prohlášením uvedeným v příloze.
Článek 2
Toto rozhodnutí se týká odpovídající úrovně ochrany poskytované úřadem CBP v souvislosti s plněním požadavků čl. 25 odst. 1 směrnice 95/46/ES a nemá vliv na ostatní podmínky nebo omezení, jimiž se provádějí jiná ustanovení uvedené směrnice související se zpracováním osobních údajů v členských státech.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států činit kroky na zajištění souladu s vnitrostátními předpisy přijatými podle jiných ustanovení než článku 25 směrnice 95/46/ES, mohou příslušné orgány členských států využít svou stávající pravomoc pozastavit tok údajů do CBP s cílem ochránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v následujících případech:
a)
pokud příslušný orgán USA stanovil, že CBP porušuje platné normy ochrany, nebo
b)
pokud existuje vysoká pravděpodobnost, že jsou porušovány normy ochrany stanovené v příloze, existují rozumné důvody k domněnce, že CBP nečiní nebo neučiní přiměřené a včasné kroky na vyřešení daného případu, pokračující předávání by vytvořilo bezprostřední nebezpečí vážné újmy subjektu údajů a příslušné orgány členského státu vynaložily v dané situaci rozumné úsilí na doručení upozornění CBP a poskytly mu příležitost k reakci.
2. Pozastavení skončí, jakmile bude zajištěno dodržování norem ochrany a toto bude oznámeno příslušným orgánům dotyčného členského státu.
Článek 4
1. Členské státy neprodleně informují Komisi, když přijmou opatření podle článku 3.
2. Členské státy a Komise se vzájemně informují o jakýchkoli změnách norem ochrany a o případech, v nichž činnost odpovědných orgánů nezajistila dodržování norem ochrany ze strany CBP v souladu s přílohou.
3. Jestliže informace získané podle článku 3 a podle odstavců 1 a 2 tohoto článku poskytnou skutečnosti prokazující, že přestaly být dodržovány základní zásady nutné pro odpovídající úroveň ochrany fyzických osob nebo že jakýkoli orgán odpovědný za zajišťování dodržování norem ochrany ze strany CBP v souladu s přílohou neplní účinně svou úlohu, bude o tom CBP informován a v případě potřeby se použije postup uvedený v čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit nebo pozastavit toto rozhodnutí.
Článek 5
Fungování tohoto rozhodnutí bude sledováno a jakákoli související zjištění budou oznámena výboru zřízenému podle článku 31 směrnice 95/46/ES včetně jakýchkoli průkazných skutečností, které by mohly ovlivnit závěr uvedený v článku 1 tohoto rozhodnutí, podle něhož je ochrana osobních údajů obsažených v PNR leteckých cestujících, které se předávají CPB, odpovídající ve smyslu článku 25 směrnice 95/46/ES.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do čtyř měsíců od data jeho oznámení.
Článek 7
Použitelnost tohoto rozhodnutí skončí tři roky a šest měsíců po datu jeho oznámení, pokud nebude prodlouženo v souladu s postupem stanoveným v čl. 31 odst. 2 směrnice 95/46/ES.
Článek 8
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 14. května 2004.
DECISIÓN DE LA COMISIÓN
de 14 de mayo de 2004
relativa al carácter adecuado de la protección de los datos personales incluidos en los registros de nombres de los pasajeros que se transfieren al Servicio de aduanas y protección de fronteras de los Estados Unidos (Bureau of Customs and Border Protection)
[notificada con el número C(2004) 1914]
(Texto pertinente a efectos del EEE)
(2004/535/CE)
LA COMISIÓN DE LAS COMUNIDADES EUROPEAS,
Visto el Tratado constitutivo de la Comunidad Europea,
Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1), y, en particular, el apartado 6 de su artículo 25,
Considerando lo siguiente:
(1)
De conformidad con la Directiva 95/46/CE, los Estados miembros sólo permitirán la transferencia de datos personales a un tercer país si éste proporciona un nivel de protección adecuado y se cumplen en él, con anterioridad a la transferencia, las disposiciones legales que los Estados miembros aprueben en aplicación de otros preceptos de dicha Directiva.
(2)
La Comisión puede dictaminar que un tercer país garantiza un nivel de protección adecuado. En tal caso, pueden transferirse datos personales desde los Estados miembros sin que sea necesaria ninguna garantía adicional.
(3)
De conformidad con la Directiva 95/46/CE, el nivel de protección de los datos debe evaluarse atendiendo a todas las circunstancias que concurran en la transferencia o conjunto de transferencias de datos y estudiando con especial atención una serie de elementos relevantes para la transferencia, enumerados en el apartado 2 de su artículo 25.
(4)
En el ámbito del transporte aéreo, el registro de nombres de los pasajeros (Passenger Name Records, PNR) es un registro de los requisitos de viaje de cada pasajero y miembro de la tripulación. El PNR contiene toda la información necesaria para que sea posible la tramitación y control de reservas por parte de las compañías aéreas de la reserva y de las compañías aéreas participantes respectivamente. El término «compañía aérea de la reserva» significa la compañía aérea con la que el pasajero efectuó su reserva original o con la que se hicieron reservas adicionales después del comienzo del viaje. El término «compañías aéreas participantes» significa cualquier compañía aérea a la que la compañía aérea de la reserva ha solicitado que se reserve un sitio para un pasajero en uno o varios vuelos de esa compañía.
(5)
El Servicio de aduanas y protección de fronteras de los Estados Unidos (Bureau of Customs and Border Protection, CBP) del Departamento de Seguridad Interior (Department of Homeland Security, DHS) exige a cada compañía dedicada al transporte aéreo internacional de pasajeros con origen o destino en los Estados Unidos que proporcione a dicho Servicio acceso electrónico al PNR, en la medida en que este se elabora e incluye en el sistema electrónico de reservas de la compañía.
(6)
Los requisitos relativos a los datos personales incluidos en los PNR de pasajeros de vuelos que se han de transferir al CBP se basan en una ley promulgada por los los Estados Unidos en noviembre de 2001 (2) y en los reglamentos de aplicación aprobados por el CBP con arreglo a la mencionada ley (3).
(7)
La legislación estadounidense en cuestión se refiere a la intensificación de la seguridad y de las condiciones en las que se permite la entrada y salida del país de las personas, cuestiones sobre las que los Estados Unidos tienen la facultad soberana de decidir dentro de su competencia. Por otra parte, los requisitos establecidos son coherentes con todos los compromisos internacionales que ha asumido dicho país. Los Estados Unidos son un país democrático, un Estado de Derecho y con una sólida tradición de libertades civiles. La legitimidad de su proceso legislativo y la solidez e independencia de su poder judicial no se cuestionan. La libertad de prensa constituye otra potente garantía frente a cualquier violación de las libertades civiles.
(8)
La Comunidad está plenamente comprometida con el respaldo a los Estados Unidos en la lucha contra el terrorismo, dentro de los límites fijados por el Derecho comunitario. El Derecho comunitario permite determinar el equilibrio necesario entre las exigencias de la seguridad y el respeto de la vida privada. Por ejemplo, el artículo 13 de la Directiva 95/46/CE establece que los Estados miembros pueden adoptar medidas legales para limitar el alcance de determinados requisitos de dicha Directiva, en caso necesario por motivos de seguridad del Estado, defensa, seguridad pública y prevención, investigación, detección y represión de infracciones penales.
(9)
Las transferencias de datos en cuestión corresponden a responsables específicos del tratamiento de datos, en concreto compañías aéreas que tienen vuelos entre la Comunidad y los Estados Unidos, y a un único destinatario en los Estados Unidos, el CBP.
(10)
Todo acuerdo para establecer el marco jurídico de las transferencias a los Estados Unidos destinadas al PNR, en particular a través de esta Decisión, debe ser limitado en el tiempo. Se ha acordado un período de tres años y medio. A lo largo de este período, el entorno puede modificarse de manera significativa, por lo que las dos partes están de acuerdo en que será necesario revisar los acuerdos.
(11)
El tratamiento por parte del CBP de los datos personales que contienen los PNR de pasajeros de vuelos que se transfieren a dicho Servicio está regido por las condiciones establecidas en los Compromisos del Servicio de aduanas y protección de fronteras (CBP) del Departamento de Seguridad Interior, de 11 de mayo de 2004 (denominados en lo sucesivo, «los Compromisos») así como en la legislación nacional estadounidense en las condiciones que se establecen en dichos Compromisos.
(12)
Por lo que respecta a la legislación nacional de los Estados Unidos, la Ley de libertad de información (Freedom of Information Act, FOIA) es pertinente en el presente contexto, ya que regula las condiciones en las que el mencionado Servicio puede denegar solicitudes de divulgación y mantener de este modo la confidencialidad de los PNR. La Ley regula la divulgación de un PNR a la persona a la que se refiera tal registro; dicha divulgación está íntimamente relacionada con los derechos de acceso del interesado. Se aplica a los ciudadanos estadounidenses y extranjeros indistintamente.
(13)
Por lo que respecta a los Compromisos mencionados, tal como se establece en el punto 44 de éstos, lo dispuesto en los Compromisos se incorporará, o ya se ha incorporado, a leyes, reglamentos, directivas u otros instrumentos políticos en los Estados Unidos, por lo que tendrá efectos jurídicos de distinto grado. Los Compromisos se publicarán íntegramente en el Registro Federal bajo la autoridad del DHS. Se trata de Compromisos políticos serios y muy meditados del DHS cuyo cumplimiento será objeto de control conjunto por parte de los Estados Unidos y la Comunidad. Su incumplimiento podrá ser objeto de recurso, según proceda, por las vías jurídica, administrativa y política y, si se mantiene, dará lugar a la suspensión de los efectos de la presente Decisión.
(14)
Las normas que aplica el CBP al tratamiento de los datos de los PNR con arreglo a la legislación de su país, así como los Compromisos citados, respetan los principios básicos necesarios para un nivel adecuado de protección de las personas físicas.
(15)
Por lo que se refiere al principio de limitación a una finalidad específica, los datos personales de los pasajeros de vuelos incluidos en los PNR que se transfieren al CBP serán objeto de tratamiento para una finalidad específica y posteriormente se utilizarán o volverán a transmitirse únicamente en caso de que ello sea compatible con la finalidad de la transferencia. En concreto, los datos de los PNR se utilizarán estrictamente para los fines de prevención y lucha contra el terrorismo y delitos conexos, otros delitos graves, incluida la delincuencia organizada, que tengan un carácter transnacional y la fuga en caso de orden de arresto o detención por estos delitos señalados.
(16)
En cuanto a la calidad de los datos y el principio de proporcionalidad, que han de considerarse en relación con los motivos importantes de interés público por los que se transfieren datos del PNR, los datos que se faciliten al CBP no podrán ser alterados por dicho Servicio. Se transferirá un máximo de 34 categorías de datos del PNR; las autoridades estadounidenses consultarán a la Comisión antes de añadir nuevos requisitos. La información adicional de carácter personal que se desee obtener como consecuencia directa de datos del PNR se obtendrá de fuentes ajenas a la administración únicamente por vías legales. Por regla general, cada PNR se destruirá al término de un plazo de tres años y seis meses, a excepción de los datos a los que se haya accedido para investigaciones específicas, o en caso de acceso manual.
(17)
Por lo que respecta al principio de transparencia, el CBP facilitará información a los viajeros respecto a la finalidad de la transferencia y el tratamiento y a la identidad del responsable del tratamiento en el tercer país, así como información de otro tipo.
(18)
En cuanto al principio de seguridad, el CBP toma las medidas de seguridad técnica y organizativa adecuadas a los riesgos que representa el tratamiento.
(19)
Se reconocen los derechos de acceso y rectificación, en la medida en que el interesado pueda obtener una copia de los datos del PNR y la rectificación de los datos inexactos. Las excepciones previstas, a grandes rasgos, son comparables con las restricciones que pueden imponer los Estados miembros con arreglo al artículo 13 de la Directiva 95/46/CE.
(20)
Las transferencias ulteriores se realizarán, en cada caso específico, a otras autoridades gubernamentales, incluidas las de otros países, con competencias antiterroristas o encargadas de velar por el cumplimiento de la ley, para fines que correspondan a los expuestos en la declaración de limitación a una finalidad específica. También será posible realizar transferencias para la protección de intereses vitales del interesado o de otras personas, en particular en relación con riesgos importantes para la salud, o en el caso de un procedimiento judicial penal, o en otros casos en que la legislación lo exija. Los organismos que reciban los datos están obligados por las condiciones explícitas relativas a la divulgación a utilizar los datos únicamente para los fines mencionados y no pueden transferir posteriormente los datos sin la autorización del CBP. Ningún otro organismo extranjero, federal, estatal o local tiene acceso electrónico directo a datos del PNR a través de las bases de datos del CBP. El CBP denegará la divulgación pública de los PNR con arreglo a las excepciones establecidas por las disposiciones pertinentes de la FOIA.
(21)
El CBP no utiliza datos sensibles del tipo de los mencionados en el artículo 8 de la Directiva 95/46/CE y se compromete a instaurar los medios para destruirlos y a no utilizarlos hasta que se instaure un sistema de filtros destinado a excluir tales datos de los PNR transferidos a los Estados Unidos.
(22)
Por lo que se refiere a los mecanismos para garantizar el cumplimiento de estos principios por el CBP, se prevé que el personal de dicho Servicio recibirá formación e información, así como el establecimiento de posibles sanciones a los integrantes del mismo. El respeto de la intimidad en general por parte del CBP será objeto del análisis escrupuloso del Director responsable de la protección de la intimidad (Chief Privacy Officer) del DHS, que es funcionario del mismo, pero tiene un amplio margen de autonomía organizativa y debe rendir cuentas cada año al Congreso. Las personas cuyos datos del PNR hayan sido transferidos podrán formular reclamaciones al CBP o, si estas no se resuelven, a dicho Director responsable de la protección de la intimidad del DHS, directamente o a través de las autoridades de protección de datos de los Estados miembros. La Oficina de protección de la intimidad del DHS atenderá mediante tramitación acelerada las reclamaciones que le remitan las autoridades de protección de datos de los Estados miembros en nombre de residentes de la Comunidad, en caso de que el residente considere que su reclamación no ha sido resuelta de manera satisfactoria por el CBP o la Oficina de protección de la intimidad del DHS. El CBP, en colaboración con el DHS, y un equipo dirigido por la Comisión realizarán un examen anual conjunto del cumplimiento de los Compromisos.
(23)
Aunque se compruebe el nivel adecuado de la protección, por motivos de transparencia y para proteger la facultad de las autoridades competentes de los Estados miembros de garantizar la protección de las personas en lo que respecta al tratamiento de sus datos personales, resulta necesario especificar las circunstancias excepcionales que pudieran justificar la suspensión de flujos específicos de información.
(24)
El Grupo de protección de las personas en lo que respecta al tratamiento de datos personales, creado en virtud del artículo 29 de la Directiva 95/46/CE, ha emitido dictámenes relativos al nivel de protección de los datos de pasajeros que ofrecen las autoridades estadounidenses, los cuales han servido de guía a la Comisión a lo largo de las negociaciones con el DHS. La Comisión ha tomado nota de estos dictámenes al elaborar la presente Decisión (4).
(25)
Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité creado en virtud del apartado 1 del artículo 31 de la Directiva 95/46/CE.
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1
A efectos del apartado 2 del artículo 25 de la Directiva 95/46/CE, se considera que el Servicio de aduanas y protección de fronteras de los Estados Unidos (Bureau of Customs and Border Protection; en lo sucesivo, «el CBP») ofrece un nivel adecuado de protección de los datos de PNR que se transfieren desde la Comunidad relativos a vuelos con destino u origen en los Estados Unidos, con arreglo a los Compromisos que figuran en el anexo.
Artículo 2
La presente Decisión se refiere a la adecuación de la protección ofrecida por el CBP con arreglo a los requisitos del apartado 1 del artículo 25 de la Directiva 95/46/CE y no afectará a otras condiciones o restricciones que se impongan en aplicación de otras normas de la Directiva relativas al tratamiento de los datos personales en los Estados miembros.
Artículo 3
1. Sin perjuicio de sus facultades para emprender acciones que garanticen el cumplimiento de las normas nacionales adoptadas de conformidad con preceptos diferentes a los contemplados en el artículo 25 de la Directiva 95/46/CE, las autoridades competentes de los Estados miembros podrán ejercer su facultad de suspender los flujos de datos hacia el CBP, a fin de proteger a los particulares contra el tratamiento de sus datos personales, en los casos en que:
a)
la autoridad competente de los Estados Unidos compruebe que el CBP ha vulnerado las normas de protección aplicables, o
b)
existan grandes probabilidades de que se estén vulnerando las normas de protección expuestas en el anexo, existan razones para creer que el CBP no ha tomado o no tomará las medidas oportunas para resolver el caso en cuestión, se considere que la continuación de la transferencia podría crear un riesgo inminente de grave perjuicio a los afectados, y las autoridades competentes del Estado miembro hayan hecho esfuerzos razonables en estas circunstancias para notificárselo al CBP y proporcionarle la oportunidad de alegar.
2. La suspensión cesará en cuanto esté garantizado el cumplimiento de las normas de protección y ello se haya notificado a las autoridades competentes de los Estados miembros afectados.
Artículo 4
1. Los Estados miembros informarán inmediatamente a la Comisión de la adopción de medidas basadas en el artículo 3.
2. Los Estados miembros y la Comisión se informarán recíprocamente de cualquier cambio en las normas de protección y de aquellos casos en que la actuación de los organismos responsables del cumplimiento por parte del CBP de las normas de protección que figuran en el anexo no garantice dicho cumplimiento.
3. Si la información recogida con arreglo al artículo 3 y a los apartados 1 y 2 del presente artículo demuestra que los principios básicos necesarios para un nivel adecuado de protección de las personas físicas no están siendo respetados, o que los organismos responsables del cumplimiento por parte del CBP de las normas de protección que figuran en el anexo no están ejerciendo su función, se lo notificará al CBP y, si procede, será de aplicación el procedimiento previsto en el apartado 2 del artículo 31 de la Directiva 95/46/CE, a fin de anular o suspender la presente Decisión.
Artículo 5
El funcionamiento de la presente Decisión será supervisado y el Comité creado por el artículo 31 de la Directiva 95/46/CE será informado de cualquier hecho pertinente y, en particular, de cualquier prueba que pueda afectar a la resolución del artículo 1 de la presente Decisión, relativa a que la protección de los datos personales incluidos en PNR de pasajeros de vuelos que se transfieren al CBP es adecuada con arreglo a lo dispuesto en el artículo 25 de la Directiva 95/46/CE.
Artículo 6
Los Estados miembros adoptarán todas las medidas necesarias para cumplir la presente Decisión, a más tardar en un plazo de cuatro meses a partir de la fecha de su notificación.
Artículo 7
La presente Decisión expirará tres años y seis meses después de la fecha de su notificación, salvo que la Decisión sea prorrogada con arreglo al procedimiento expuesto en el apartado 2 del artículo 31 de la Directiva 95/46/CE.
Artículo 8
Los destinatarios de la presente Decisión serán los Estados miembros.
Hecho en Bruselas, el 14 de mayo de 2004.