KOMMISSIONENS BESLUTNING
af 14. maj 2004
om tilstrækkelig beskyttelse af personoplysninger, der er indeholdt i registre over flypassagerer, og som videregives til Amerikas Forenede Staters told- og grænsekontrolmyndighed (Bureau of Customs and Border Protection)
(meddelt under nummer K(2004) 1914)
(EØS-relevant tekst)
(2004/535/EF)
KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER HAR -
under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 25, stk. 6, og
ud fra følgende betragtninger:
(1)
Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at videregivelse af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og medlemsstaternes love til gennemførelse af direktivets øvrige bestemmelser overholdes inden videregivelsen.
(2)
Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan personoplysninger videregives fra medlemsstaterne uden yderligere garantier.
(3)
Vurderingen af databeskyttelsesniveauet skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger, og navnlig under hensyntagen til en række faktorer anført i direktivets artikel 25, stk. 2, der er relevante for den pågældende videregivelse.
(4)
I forbindelse med flytransport er PNR (»Passenger Name Record«, herefter benævnt »PNR-oplysninger«) de registrerede oplysninger om hver passagers rejseplan og indeholder alle de nødvendige oplysninger til, at henholdsvis det for reservationen ansvarlige luftfartsselskab og andre medvirkende luftfartsselskaber kan foretage og kontrollere reservationer. I forbindelse med denne beslutning skal »passager« og »passagerer« forstås således, at besætningsmedlemmer er omfattet. Ved »det for reservationen ansvarlige luftfartsselskab« forstås det luftfartsselskab, hvor passageren foretog sin oprindelige reservation, eller hvor passageren foretog yderligere reservationer efter rejsens påbegyndelse. Ved »medvirkende luftfartsselskaber« forstås luftfartsselskaber, som det for reservationen ansvarlige luftfartsselskab har anmodet om at reservere plads til en passager på et eller flere af deres flyafgange.
(5)
USA’s told- og grænsekontrolmyndighed (Bureau of Customs and Border Protection, herefter benævnt »CBP«) under ministeriet for national sikkerhed (Department of Homeland Security, herefter benævnt »DHS«) kræver, at ethvert luftfartsselskab, der transporterer passagerer med fly til eller fra USA, skal give CBP elektronisk adgang til PNR-oplysninger, for så vidt som PNR-oplysninger indsamles og lagres i luftfartsselskabets elektroniske reservationssystem.
(6)
Kravet om videregivelse af de personoplysninger, der fremgår af flypassagerers PNR-registrering, til CBP, har hjemmel i en lov, som USA vedtog i november 2001 (2) og i en række gennemførelsesbestemmelser, som CBP vedtog i medfør af denne lov (3).
(7)
De pågældende amerikanske regler har til formål at forbedre sikkerheden og skærpe betingelserne for ind- og udrejse, dvs. områder, hvor USA har absolut suverænitet til at træffe afgørelser inden for eget jurisdiktionsområde. De fastsatte krav er desuden ikke i strid med USA’s internationale forpligtelser. USA er et demokratisk land og et retssamfund med stærke traditioner med hensyn til borgerlige frihedsrettigheder. Der kan ikke stilles spørgsmålstegn ved legitimiteten af USA’s lovgivningsproces og den dømmende magts styrke og uafhængighed. En anden stærk garanti imod krænkelsen af de borgerlige frihedsrettigheder er landets pressefrihed.
(8)
Fællesskabet støtter fuldt ud USA i bekæmpelsen af terrorisme inden for de begrænsninger, der følger af fællesskabsretten. I henhold til fællesskabsretten skal der tilvejebringes den nødvendige balance mellem sikkerhedshensyn og hensyn til privatlivets fred. For eksempel fastsættes det i artikel 13 i direktiv 95/46/EF, at medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af visse krav i direktivet, hvis dette er nødvendigt af hensyn til statens sikkerhed, forsvaret, den offentlige sikkerhed og forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager.
(9)
Den pågældende videregivelse af oplysninger vedrører bestemte registeransvarlige, nemlig luftfartsselskaber, der beflyver ruter mellem Fællesskabet og USA, og kun én modtager i USA, nemlig CBP.
(10)
Enhver aftale, der indgås for at opstille retlige rammer for overførslen af PNR-oplysninger til USA, særlig på grundlag af denne beslutning, bør være tidsbegrænset. Parterne har aftalt en periode på tre og et halvt år. Forholdene kan ændre sig betydeligt i denne periode, og Fællesskabet og USA er enige om, at det bliver nødvendigt at foretage en evaluering af ordningen.
(11)
CBP’s behandling af de personoplysninger, der er indeholdt i flypassagerernes PNR-registrering, og som videregives til CBP, er underlagt forpligtelseserklæringen af 11. maj 2004 fra Department of Homeland Security Bureau of Customs and Border Protection (herefter benævnt »forpligtelseserklæringen«) og USA’s nationale lovgivning i det i forpligtelseserklæringen anførte omfang.
(12)
Hvad angår USA’s nationale lovgivning er loven om informationsfrihed (Freedom of Information Act, herefter benævnt »FOIA«) relevant i denne sammenhæng, idet den fastsætter, på hvilke betingelser CBP kan afvise en anmodning om videregivelse og således sikre en fortrolig behandling af PNR. Loven regulerer videregivelsen af PNR til den pågældende registrerede, hvilket er tæt knyttet til princippet om den registreredes ret til aktindsigt. Den finder anvendelse på både personer med amerikansk statsborgerskab og andre.
(13)
Hvad angår forpligtelseserklæringen vil indholdet af denne som fastsat i punkt 44 blive eller allerede være blevet indarbejdet i love (statutes), bekendtgørelser (regulations), direktiver (directives) eller andre lovgivningsinstrumenter i USA og vil således få forskellig grad af retsvirkning. Forpligtelseserklæringen vil blive offentliggjort in extenso i Federal Register af DHS. De udgør således en betydelig og solid politisk forpligtelse fra DHS, og USA og Fællesskabet vil foretage en fælles evaluering af, hvorvidt forpligtelseserklæringen overholdes. Enhver manglende overholdelse kan efter omstændighederne anfægtes ad retlig, administrativ eller politisk vej og kan, såfremt den manglende overholdelse er af vedvarende karakter, føre til, at denne beslutning suspenderes.
(14)
Beskyttelsesnormerne for CBP’s behandling af passagerernes PNR-oplysninger på grundlag af USA’s lovgivning og forpligtelseserklæringen omfatter de grundlæggende principper, der er nødvendige for at sikre en tilstrækkelig databeskyttelse for fysiske personer.
(15)
Hvad angår formålsbegrænsningsprincippet bliver flypassagerers personoplysninger, der er indeholdt i PNR-registreringen, og som videregives til CBP, behandlet til et specifikt formål og kun efterfølgende anvendt og videre overført, hvis dette ikke er uforeneligt med formålet med videregivelsen. Især anvendes PNR-oplysninger udelukkende til at forebygge og bekæmpe terrorisme og dermed forbundne forbrydelser, andre alvorlige forbrydelser, herunder organiseret kriminalitet, der har tværnational karakter, og flugt fra en anholdelse eller varetægtsfængsling for denne kriminalitet.
(16)
Hvad angår princippet om datakvalitet og dataproportionalitet, som der skal tages behørigt hensyn til i forbindelse med de vigtige samfundsinteresser, af hensyn til hvilke PNR-oplysningerne overføres, vil CBP efter modtagelsen ikke efterfølgende ændre i PNR-oplysningerne. Der overføres højst 34 PNR-datakategorier, og de amerikanske myndigheder vil høre Kommissionen, inden der stilles yderligere krav. Supplerende personoplysninger, der søges som et direkte resultat af konkrete PNR-oplysninger, kan kun indhentes fra andre kilder end offentlige registre, såfremt det er lovlige kilder. Generelt slettes PNR-oplysninger efter højst tre år og seks måneder, undtagen oplysninger, der er blevet anvendt i forbindelse med en konkret efterforskning, eller som på anden vis er blevet konsulteret manuelt.
(17)
Hvad angår gennemsigtighedsprincippet oplyser CBP de rejsende om formålet med videregivelsen og behandlingen, identiteten på den registeransvarlige i tredjelandet samt andre forhold.
(18)
Hvad angår sikkerhedsprincippet træffer CBP de tekniske og organisatoriske sikkerhedsforanstaltninger, som må anses for passende i forhold til de risici, behandlingen indebærer.
(19)
Retten til indsigt og berigtigelse er sikret ved, at den registrerede kan anmode om en kopi af sine PNR-oplysninger og om berigtigelse af urigtige oplysninger. De undtagelser, der finder anvendelse, svarer stort set til de begrænsninger, som medlemsstaterne kan anvende i henhold til artikel 13 i direktiv 95/46/EF.
(20)
Efterfølgende videregivelse til andre statslige organer, herunder udenlandske, med terrorbekæmpelses- eller retshåndhævelsesfunktioner kan under hensyn til sagens konkrete omstændigheder ske med de i begrænsningserklæringen nævnte formål. Videregivelse kan også finde sted til beskyttelse af de registreredes eller andre personers vitale interesser, særlig med hensyn til alvorlige helbredsrisici, i forbindelse med straffesager eller på anden vis i henhold til loven. Organer, der modtager data, må i henhold til bestemmelserne om videregivelse kun anvende disse oplysninger til disse formål, og de må ikke selv foretage yderligere videregivelse uden godkendelse fra CBP. Ingen andre udenlandske, federale, delstatslige eller lokale organer har direkte elektronisk adgang til PNR-oplysninger via CBP’s databaser. CBP vil med hjemmel i undtagelserne fra de relevante FOIA-bestemmelser afslå offentlig adgang til PNR.
(21)
CBP anvender ikke følsomme oplysninger som omhandlet i artikel 8 i direktiv 95/46/EF og forpligter sig til at indføre hjælpemidler til at slette sådanne oplysninger og til ikke at anvende dem, indtil der indføres et filtersystem, der sorterer sådanne oplysninger fra de PNR, der overføres til USA.
(22)
Hvad angår de håndhævelsesmekanismer, der skal sikre, at CBP overholder disse principper, er der truffet foranstaltninger til uddannelse og information af CBP’s personale og indført sanktioner, der kan anvendes mod de enkelte ansatte. CBP's overholdelse af bestemmelserne om beskyttelse af privatlivets fred kontrolleres generelt af DHS' ansvarlige for beskyttelse af privatlivets fred (Chief Privacy Officer), som er embedsmand i DHS, men har en betydelig organisatorisk selvstændighed og årligt skal aflægge rapport til Kongressen. Personer, hvis PNR-oplysninger er blevet videregivet, kan klage til CBP eller, såfremt klagen ikke færdigbehandles, til DHS' ansvarlige for beskyttelse af privatlivets fred enten direkte eller gennem medlemsstaternes databeskyttelsesmyndigheder. DHS' ansvarlige for beskyttelse af privatlivets fred vil hastebehandle klager, som bliver henvist fra medlemsstaternes databeskyttelsesmyndigheder på vegne af personer, der er bosiddende i Det Europæiske Fællesskab, hvis den pågældende mener, at CBP eller DHS' kontor for beskyttelse af privatlivets fred ikke har behandlet klagen på tilfredsstillende vis. CBP vil, i samarbejde med DHS og en gruppe ledet af Kommissionen, årligt foretage en evaluering af, hvorvidt forpligtelseserklæringen er overholdt.
(23)
Af hensyn til åbenheden og for at sikre medlemsstaternes kompetente myndigheders beføjelser til at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger er det nødvendigt at specificere, under hvilke særlige omstændigheder det kan være berettiget at suspendere specifik videregivelse af personoplysninger, selv om det er blevet konstateret, at beskyttelsen er tilstrækkelig.
(24)
Den ved artikel 29 i direktiv 95/46/EF nedsatte gruppe vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger har afgivet udtalelser om det beskyttelsesniveau, som USA sikrer passageroplysninger (4) og disse har været vejledende for Kommissionen i dens forhandlinger med DHS. Kommissionen har inddraget disse udtalelser i dens udarbejdelse af denne beslutning.
(25)
De i denne beslutning fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det ved artikel 31, stk. 1, i direktiv 95/46/EF nedsatte udvalg -
VEDTAGET FØLGENDE BESLUTNING:
Artikel 1
USA’s told- og grænsekontrolmyndighed (Bureau of Customs and Border Protection, herefter benævnt »CBP«) anses for så vidt angår artikel 25, stk. 2, i direktiv 95/46/EF for at sikre et tilstrækkeligt beskyttelsesniveau for PNR-oplysninger vedrørende flyvninger til eller fra USA, der videregives fra Fællesskabet, i overensstemmelse med forpligtelseserklæringen i bilaget.
Artikel 2
Denne beslutning vedrører spørgsmålet om, hvorvidt CBP sikrer en tilstrækkelig beskyttelse til at opfylde kravene i artikel 25, stk. 1, i direktiv 95/46/EF, og beslutningen berører ikke andre betingelser eller begrænsninger i forbindelse med gennemførelsen af andre bestemmelser i direktivet, der vedrører behandlingen af personoplysninger i medlemsstaterne.
Artikel 3
1. De kompetente myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger for at sikre overholdelse af nationale bestemmelser, der er udstedt i henhold til andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser til at suspendere videregivelsen af oplysninger til CBP for at beskytte fysiske personer med hensyn til behandlingen af personoplysninger om dem:
a)
når en kompetent myndighed i USA har fastslået, at CBP overtræder gældende beskyttelsesnormer, eller
b)
når der er stor sandsynlighed for, at beskyttelsesnormerne i bilaget overtrædes, der er tilstrækkelig grund til at antage, at CBP ikke træffer eller ikke agter at træffe passende og rettidige foranstaltninger til at løse den pågældende sag, fortsat videregivelse af personoplysninger ville indebære overhængende risiko for at påføre de registrerede en alvorlig skade, og de kompetente myndigheder i medlemsstaten har udvist efter omstændighederne rimelige bestræbelser på at underrette CBP og givet denne mulighed for at svare.
2. Suspenderingen ophæves, når beskyttelsesnormerne overholdes, og de kompetente myndigheder i de pågældende medlemsstater underrettes herom.
Artikel 4
1. Medlemsstaterne underretter straks Kommissionen, hvis der træffes foranstaltninger i henhold til artikel 3.
2. Medlemsstaterne og Kommissionen underretter hinanden om enhver ændring af beskyttelsesnormerne samt om tilfælde, hvor de organer, som skal sikre, at CBP overholder beskyttelsesnormerne i bilaget, ikke sikrer denne overholdelse.
3. Hvis det fremgår af de oplysninger, der indsamles i henhold til artikel 3 og denne artikels stk. 1 og 2, at grundlæggende principper, der er nødvendige for at sikre et tilstrækkeligt beskyttelsesniveau for fysiske personer, ikke længere overholdes, eller at et organ, der skal sikre, at CBP overholder beskyttelsesnormerne i bilaget, ikke opfylder sin rolle effektivt, skal CBP underrettes, og hvis det er nødvendigt, skal proceduren i artikel 31, stk. 2, i direktiv 95/46/EF anvendes med henblik på at ophæve eller suspendere denne beslutning.
Artikel 5
Der skal føres tilsyn med anvendelsen af denne beslutning, og alle relevante forhold skal indberettes til det ved artikel 31 i direktiv 95/46/EF nedsatte udvalg, herunder alle forhold, der kan påvirke konstateringen i artikel 1 i denne beslutning af, at beskyttelsen af de personoplysninger, der er indeholdt i flypassagerers PNR, og som overføres til CBP, er tilstrækkelig i henhold til artikel 25 i direktiv 95/46/EF.
Artikel 6
Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne beslutning senest fire måneder efter, at den er meddelt dem.
Artikel 7
Denne beslutning udløber 3 år og 6 måneder efter at den er meddelt, medmindre den forlænges efter proceduren i artikel 31, stk. 2, i direktiv 95/46/EF.
Artikel 8
Denne beslutning er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 14. maj 2004.
KOMISSION PÄÄTÖS,
tehty 14 päivänä toukokuuta 2004,
Yhdysvaltojen tulli- ja rajavartiolaitokselle toimitettavien lentomatkustajia koskevaan matkustajarekisteriin sisältyvien henkilötietojen suojan riittävästä tasosta
(tiedoksiannettu numerolla K(2004) 1914)
(ETA:n kannalta merkityksellinen teksti)
(2004/535/EY)
EUROOPAN YHTEISÖJEN KOMISSIO, joka
ottaa huomioon Euroopan yhteisön perustamissopimuksen,
ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (1) ja erityisesti sen 25 artiklan 6 kohdan,
sekä katsoo seuraavaa:
(1)
Direktiivin 95/46/EY mukaan jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan siirtää kolmanteen maahan vain, jos kyseisessä kolmannessa maassa turvataan tietosuojan riittävä taso ja jos direktiivin muiden säännösten täytäntöönpanemiseksi annettuja jäsenvaltioiden lakeja noudatetaan ennen tietojen siirtämistä.
(2)
Komissio voi todeta, että kolmas maa turvaa tietosuojan riittävän tason. Henkilötietoja voidaan tässä tapauksessa siirtää jäsenvaltioista ilman lisätakeita.
(3)
Direktiivin 95/46/EY mukaisesti tietosuojan taso olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta ja ottaen erityisesti huomioon eräät siirron kannalta olennaiset direktiivin 25 artiklan 2 kohdassa luetellut tekijät.
(4)
Lentoliikenteessä matkustajarekisterillä (Passenger Name Record, PNR) tarkoitetaan kunkin matkustajan kuljetustarpeita koskevaa rekisteriä, joka sisältää kaikki tiedot, jotka varauslentoyhtiöt ja kuljetukseen osallistuvat lentoyhtiöt tarvitsevat varausten tekemistä ja valvomista varten. Tässä päätöksessä ilmaisuilla ”matkustaja” ja ”matkustajat” tarkoitetaan myös miehistön jäseniä. ”Varauslentoyhtiöllä” tarkoitetaan lentoyhtiötä, jonka kanssa uusia varauksia on tehty matkan aloittamisen jälkeen. ”Kuljetukseen osallistuvalla lentoyhtiöllä” tarkoitetaan lentoyhtiötä, jolta varauslentoyhtiö on pyytänyt paikan matkustajalle yhdellä tai useammalla sen lennoista.
(5)
Sisäisen turvallisuuden ministeriön (Department of Homeland Security), jäljempänä ”DHS”, alainen Yhdysvaltojen tulli- ja rajavartiolaitos (United States Bureau of Customs and Border Protection), jäljempänä ”CBP”, vaatii kaikkia liikenteenharjoittajia, jotka harjoittavat ulkomaan lentoliikennettä Yhdysvaltoihin tai Yhdysvalloista, tarjoamaan sille sähköisen pääsyn PNR-tietoihin, jotka kerätään ja tallennetaan liikenteenharjoittajan automaattiseen varausjärjestelmään.
(6)
CBP:lle toimitettavia matkustajarekisteriin sisältyviä henkilötietoja koskevat vaatimukset perustuvat Yhdysvaltojen marraskuussa 2001 antamaan säädökseen (2) ja CBP:n kyseisen säädöksen nojalla hyväksymiin soveltamismääräyksiin (3).
(7)
Kyseinen Yhdysvaltojen lainsäädäntö koskee turvallisuuden parantamista ja henkilöiden maahantulon ja maasta poistumisen ehtoja. Yhdysvalloilla on näissä asioissa suvereeni oikeudellinen toimivalta. Säädetyt vaatimukset eivät myöskään ole ristiriidassa minkään Yhdysvaltojen tekemien kansainvälisten sitoumusten kanssa. Yhdysvallat on oikeusvaltioperiaatteeseen nojautuva demokraattinen valtio, jolla on vahvat kansalaisvapausperinteet. Ei ole epäilystä sen lainsäädäntömenettelyn laillisuudesta eikä sen oikeuslaitoksen tehokkuudesta ja riippumattomuudesta. Lisäksi lehdistön vapaus on vahva tae kansalaisvapauksien väärinkäyttöä vastaan.
(8)
Yhteisö on täysin sitoutunut tukemaan Yhdysvaltoja terrorismin torjunnassa yhteisön lainsäädännön asettamissa rajoissa. Yhteisön lainsäädännössä säädetään tarvittavasta tasapainosta turvallisuusseikkojen ja yksityisyyden suojaa koskevien seikkojen välillä. Esimerkiksi direktiivin 95/46/EY 13 artiklan mukaan jäsenvaltiot saavat lainsäädännöllään rajoittaa mainitun direktiivin tiettyjen vaatimusten soveltamisalaa, kun tämä on välttämätöntä valtion turvallisuuden, puolustuksen, yleisen turvallisuuden ja rikosten torjunnan, tutkinnan, selvittämisen ja syyteharkinnan kannalta.
(9)
Kyseiset tiedonsiirrot koskevat tiettyjä rekisterinpitäjiä eli lentoyhtiöitä, jotka harjoittavat lentoliikennettä yhteisön ja Yhdysvaltojen välillä, ja ainoastaan yhtä vastaanottajaa Yhdysvalloissa eli CBP:tä.
(10)
Matkustajarekisteritietojen siirtoja Yhdysvaltoihin koskevan oikeudellisen kehyksen luomiseen, erityisesti tällä päätöksellä, liittyvien menettelyjen olisi oltava ajallisesti rajoitettuja. On sovittu kolmen ja puolen vuoden pituisesta jaksosta. Tämän jakson aikana olosuhteet voivat muuttua merkittävästi ja yhteisö ja Yhdysvallat katsovat, että menettelyjen tarkistaminen on tarpeen.
(11)
CBP käsittelee sille siirrettyjä lentomatkustajien matkustajarekisteriin sisältyviä henkilötietoja noudattaen Yhdysvaltojen sisäisen turvallisuuden ministeriön alaisen tulli- ja rajavartiolaitoksen (CBP) 11 päivänä toukokuuta 2004 vahvistamia sitoumuksia, jäljempänä ”sitoumukset”, ja Yhdysvaltojen lainsäädäntöön sisältyviä ehtoja sitoumuksissa esitetyn mukaisesti.
(12)
Yhdysvaltojen lainsäädännön osalta on tässä yhteydessä merkitystä tiedonvapauslailla (Freedom of Information Act) siltä osin, kuin se sääntelee edellytyksiä, joilla CBP voi vastustaa luovutuspyyntöjä ja säilyttää näin matkustajarekisteritietojen luottamuksellisuuden. Lisäksi laki sääntelee matkustajarekisteritietojen luovuttamista asianomaisille henkilöille, mikä liittyy läheisesti rekisteröidyn tiedonsaantioikeuteen, ja lakia sovelletaan erotuksetta sekä Yhdysvaltojen kansalaisiin että ulkomaalaisiin.
(13)
Sitoumusten osalta, ja kuten määrätään niiden 44 kohdassa, sitoumuksissa vahvistetut lausekkeet sisällytetään tai on jo sisällytetty Yhdysvalloissa lakeihin, sääntöihin, ohjeisiin tai muihin politiikan välineisiin, jolloin niille syntyy eriasteisia oikeusvaikutuksia. Sitoumukset julkaistaan kokonaisuudessaan Federal Registerissä, ja ne kuuluvat DHS:n toimivaltaan. Ne ovat DHS:n puolelta vakava ja tarkoin harkittu poliittinen sitoumus, ja niiden noudattamista koskevaan yhteiseen tarkasteluun osallistuvat sekä Yhdysvallat että yhteisö. Sääntöjen noudattamatta jättämiseen voidaan puuttua tapauksen mukaan oikeudellisin, hallinnollisin ja poliittisin keinoin, ja asiaintilan korjaamatta jättäminen johtaa tämän päätöksen vaikutusten keskeyttämiseen.
(14)
Vaatimukset, joiden mukaisesti CBP käsittelee matkustajarekisteritietoja Yhdysvaltojen lainsäädännön ja sitoumusten perusteella, sisältävät perusperiaatteet, jotka tarvitaan turvaamaan luonnollisten henkilöiden suojelun riittävä taso.
(15)
Tarkoituksen rajoittamisperiaate otetaan huomioon siten, että CBP:lle siirrettyjä matkustajarekisteriin sisältyviä lentomatkustajien henkilötietoja käsitellään tiettyä tarkoitusta varten ja käytetään tai annetaan eteenpäin vain jos se ei ole yhteensopimatonta siirron tarkoituksen kanssa. Matkustajarekisteritietoja käytetään yksinomaan estämään ja torjumaan terrorismia ja siihen liittyviä rikoksia, muita vakavia, luonteeltaan rajat ylittäviä rikoksia, mukaan lukien järjestäytynyt rikollisuus, ja pakenemista pidätykseltä tai vankeudesta näiden rikosten johdosta.
(16)
Tiedon laatu ja suhteellisuusperiaate, joita on tarkasteltava suhteessa tärkeään yleiseen etuun, jonka vuoksi matkustajarekisteritiedot siirretään, otetaan huomioon siten, ettei CBP tee muutoksia sille annettuihin matkustajarekisteritietoihin. Matkustajarekisterin tietokenttiä siirretään enintään 34, ja Yhdysvaltojen viranomaiset kuulevat komissiota ennen uusien vaatimusten lisäämistä. Henkilöä koskevia lisätietoja, joita saadaan suoraan matkustajarekisteritietojen perusteella, hankitaan hallituksen ulkopuolisista lähteistä ainoastaan laillisia kanavia pitkin. Pääsääntöisesti matkustajarekisteritiedot poistetaan viimeistään kolmen vuoden ja kuuden kuukauden kuluttua, erityisiä tutkintatoimia varten tai muutoin manuaalisesti haettuja tietoja lukuun ottamatta.
(17)
Avoimuusperiaate otetaan huomioon siten, että CBP ilmoittaa matkustajille tietojen siirtämisen ja käsittelyn tarkoituksen ja kolmannen maan rekisterinpitäjän nimen sekä muita tietoja.
(18)
Turvallisuusperiaate otetaan huomioon siten, että CBP huolehtii teknisistä ja organisatorisista turvatoimista, jotka ovat tarkoituksenmukaisia ottaen huomioon käsittelyn aiheuttamat riskit.
(19)
Oikeus saada tietoja ja saada tiedot oikaistuksi otetaan huomioon siten, että rekisteröity voi pyytää jäljennöksen matkustajarekisteritiedoista ja virheellisten tietojen oikaisemista. Tähän liittyvät poikkeukset vastaavat pääpiirteittäin rajoituksia, joista jäsenvaltiot voivat säätää direktiivin 95/46/EY 13 artiklan nojalla.
(20)
Tietoja siirretään edelleen muille terrorismin torjuntaan tai lainvalvontaan osallistuville viranomaisille, mukaan lukien ulkomaiden viranomaiset, ainoastaan tapauskohtaisesti tarkoituksiin, jotka vastaavat ilmoitusta käyttötarkoituksen rajoittamisesta. Tietoja voidaan siirtää myös rekisteröidyn tai muiden henkilöiden elintärkeiden etujen suojelemiseksi etenkin merkittäviltä terveysvaaroilta tai rikosoikeudellisia menettelyjä varten tai muissa lain edellyttämissä tilanteissa. Tietojen saajat ovat tietojenluovutuksen nimenomaisten ehtojen mukaisesti velvollisia käyttämään tietoja vain edellä mainittuihin tarkoituksiin, eivätkä ne saa siirtää tietoja edelleen ilman CBP:n suostumusta. Millään muulla ulkomaisella, liittovaltion, osavaltion tai paikallisella viranomaisella ei ole suoraa sähköistä pääsyä matkustajarekisteritietoihin CBP:n tietokantojen kautta. CBP kieltää matkustajarekisterin julkistamisen tiedonvapauslain (FOIA) asianomaisia säännöksiä koskevien poikkeusten perusteella.
(21)
CBP ei käytä tietoja, jotka ovat direktiivin 95/46/EY 8 artiklan merkityksessä arkaluonteisia, ja siihen asti, kunnes käytössä on suodatusjärjestelmä, joka jättää tällaiset tiedot Yhdysvaltoihin siirrettävien matkustajarekisteritietojen ulkopuolelle, se sitoutuu ottamaan käyttöön keinot niiden poistamiseksi ja olemaan käyttämättä niitä.
(22)
Täytäntöönpanoon liittyviä mekanismeja, joilla varmistetaan, että CBP noudattaa kyseessä olevia periaatteita, ovat CBP:n henkilökunnalle tarjottava koulutus ja informaatio sekä yksittäisiin henkilökunnan jäseniin kohdistuvat seuraamukset. Yksityisyyden suojan noudattamista CBP:ssä yleisesti tutkii DHS:n yksityisyyden suojasta vastaava päävirkamies (Chief Privacy Officer), joka on DHS:n virkamies, mutta jolla on laaja organisatorinen itsenäisyys ja jonka on toimitettava vuosittain raportti kongressille. Henkilöt, joiden matkustajarekisteritietoja on siirretty, voivat tehdä valituksia CBP:lle tai, jos valituksiin ei saada ratkaisua, DHS:n yksityisyyden suojasta vastaavalle päävirkamiehelle joko suoraan tai jäsenvaltioiden tietosuojaviranomaisten kautta. DHS:n yksityisyyden suojasta vastaava toimisto käsittelee kiireellisinä valituksia, jotka jäsenvaltioiden tietosuojaviranomaiset toimittavat sille yhteisössä asuvien henkilöiden puolesta, kun henkilöt katsovat, että CBP tai DHS:n yksityisyyden suojasta vastaava toimisto eivät ole käsitelleet heidän valitustaan tyydyttävällä tavalla. Sitoumusten noudattamista käsitellään CBP:n, yhdessä DHS:n kanssa, ja komission johtaman ryhmän vuosittaisessa yhteisessä tarkastelussa.
(23)
Avoimuuden takaamiseksi sekä sen varmistamiseksi, että jäsenvaltioiden toimivaltaiset viranomaiset pystyvät takaamaan rekisteröidyille tietosuojan näiden henkilötietojen käsittelyn osalta, on tarpeen nimetä ne poikkeusolosuhteet, joissa tiettyjen tiedonsiirtojen keskeyttäminen voi olla perusteltua siitä huolimatta, että tietosuojan taso on todettu riittäväksi.
(24)
Direktiivin 95/46/EY 29 artiklan mukaisesti perustettu tietosuojatyöryhmä on antanut Yhdysvaltojen viranomaisten matkustajatiedoille antaman suojan tasosta lausuntoja, jotka ovat ohjanneet komissiota neuvotteluissa DHS:n kanssa. Nämä lausunnot on otettu huomioon tätä päätöstä laadittaessa (4).
(25)
Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 95/46/EY 31 artiklan 1 kohdalla perustetun komitean lausunnon mukaiset,
ON TEHNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
Direktiivin 95/46/EY 25 artiklan 2 kohdan soveltamisen osalta Yhdysvaltojen tulli- ja rajavartiolaitoksen (United States Bureau of Customs and Border Protection), jäljempänä ”CBP”, katsotaan tarjoavan liitteessä I olevien sitoumusten mukaisesti suojan riittävän tason yhteisöstä siirrettäville matkustajarekisteritiedoille, jotka koskevat lentoliikennettä Yhdysvaltoihin tai Yhdysvalloista.
2 artikla
Tämä päätös koskee CBP:n tarjoaman tietosuojan riittävyyttä suhteessa direktiivin 95/46/EY 25 artiklan 1 kohdan vaatimusten täyttymiseen, eikä sillä ole vaikutusta direktiivin muiden, henkilötietojen käsittelyä jäsenvaltioissa koskevien säännösten täytäntöönpanemiseksi vahvistettujen ehtojen tai rajoitusten soveltamiseen.
3 artikla
1. Rajoittamatta jäsenvaltioiden toimivaltaisten viranomaisten valtuuksia toteuttaa toimenpiteitä sen varmistamiseksi, että muiden säännösten kuin direktiivin 95/46/EY 25 artiklan noudattamiseksi annettuja kansallisia säännöksiä noudatetaan, jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan keskeyttääkseen CBP:lle suunnatun tietojen siirron suojellakseen yksityishenkilöitä näiden henkilötietojen käsittelyn osalta tapauksissa, joissa:
a)
toimivaltainen Yhdysvaltojen viranomainen on todennut, että CBP ei noudata sovellettavia tietosuojavaatimuksia; tai
b)
on erittäin todennäköistä, että liitteessä esitettyjä tietosuojavaatimuksia ei noudateta, ja on perusteltua aihetta olettaa, että CBP ei parhaillaan tai jatkossa viipymättä toteuta vaadittavia toimenpiteitä asian ratkaisemiseksi, ja tiedonsiirron jatkaminen aiheuttaisi välittömästi uhkaavan vakavan vaaran rekisteröidylle ja jäsenvaltion toimivaltaiset viranomaiset ovat olosuhteisiin nähden kohtuullisessa määrin pyrkineet antamaan CBP:lle ilmoituksen ja tilaisuuden vastata siihen.
2. Keskeytys lakkaa heti, kun tietosuojavaatimusten noudattaminen on varmistettu ja tästä on ilmoitettu asianomaisten jäsenvaltioiden toimivaltaiselle viranomaiselle.
4 artikla
1. Jäsenvaltiot ilmoittavat viipymättä komissiolle 3 artiklan nojalla toteutetuista toimenpiteistä
2. Jäsenvaltiot ja komissio tiedottavat toisilleen kaikista tietosuojavaatimusten muutoksista sekä tapauksista, joissa liitteessä esitettyjen CBP:n tietosuojavaatimusten noudattamisesta vastuussa olevat elimet eivät pysty varmistamaan tietosuojavaatimusten noudattamista.
3. Jos 3 artiklan sekä tämän artiklan 1 ja 2 kohdan nojalla saadut tiedot osoittavat, että perusvaatimukset riittävästä suojasta luonnollisille henkilöille eivät toteudu tai jos jokin liitteessä I esitettyjen CBP:n tietosuojavaatimusten noudattamisesta vastuussa oleva elin ei tosiasiallisesti hoida tehtäväänsä, asiasta tiedotetaan CBP:lle ja tarvittaessa ryhdytään direktiivin 95/46/EY 31 artiklan 2 kohdassa tarkoitetun menettelyn mukaisiin toimenpiteisiin, joiden tarkoituksena on kumota tämä päätös tai keskeyttää toistaiseksi sen soveltaminen.
5 artikla
Tämän päätöksen soveltamista valvotaan ja direktiivin 95/46/EY 31 artiklan nojalla perustetulle komitealle raportoidaan kaikki asiaankuuluvat huomiot, mukaan lukien kaikki seikat, jotka voivat vaikuttaa tämän päätöksen 1 artiklan mukaiseen arvioon, jonka mukaan CBP:lle siirrettävien lentomatkustajien PNR:ään sisältyvien henkilötietojen suojan taso on direktiivin 95/46/EY 25 artiklan mukaisessa merkityksessä riittävä.
6 artikla
Jäsenvaltioiden on toteutettava kaikki tämän päätöksen noudattamisen edellyttämät toimenpiteet viimeistään neljän kuukauden kuluttua siitä, kun päätös on annettu tiedoksi.
7 artikla
Tämän päätöksen voimassaolo päättyy kolme vuotta ja kuusi kuukautta sen tiedoksiannon jälkeen, jollei voimassaoloa pidennetä direktiivin 95/46/EY 31 artiklan 2 kohdassa säädetyn menettelyn mukaisesti.
8 artikla
Tämä päätös on osoitettu kaikille jäsenvaltioille.
Tehty Brysselissä 14 päivänä toukokuuta 2004.