ROZHODNUTÍ KOMISE
ze dne 6. září 2005
o odpovídající ochraně osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají Agentuře kanadské pohraniční služby
(oznámeno pod číslem K(2005) 3248)
(Text s významem pro EHP)
(2006/253/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
vzhledem k těmto důvodům:
(1)
Směrnice 95/46/ES vyžaduje, aby členské státy stanovily, že k předávání osobních údajů do třetích zemí může dojít pouze tehdy, pokud dotyčná třetí země zajistí odpovídající úroveň ochrany a pokud jsou před předáním údajů splněny právní předpisy členských států provádějící ostatní ustanovení uvedené směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů posouzena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů se zvláštním přihlédnutím k řadě prvků, které pro předání mají význam a které jsou vyjmenovány v čl. 25 odst. 2 uvedené směrnice.
(4)
V rámci letecké dopravy se „záznamem o knihování cestujícího“ (PNR) rozumí záznam o cestovních požadavcích každého cestujícího obsahující veškeré informace, jež jsou nezbytné ke zpracování a kontrole rezervací leteckými společnostmi, které provádějí rezervace a podílejí se na přepravě (2). Pro účely tohoto rozhodnutí zahrnuje výraz „cestující“ v jednotném a množném čísle členy posádky. „Leteckou společností, která provádí rezervaci“ se rozumí letecká společnost, u níž si cestující udělal původní rezervaci nebo u níž byly učiněny dodatečné rezervace po zahájení cesty. „Leteckou společností, která se podílí na přepravě“ se rozumí kterákoli letecká společnost, u níž knihující letecká společnost rezervovala svému cestujícímu místo na jednom nebo více letech.
(5)
Agentura kanadské pohraniční služby (CBSA) vyžaduje, aby jí každý letecký dopravce provozující osobní leteckou dopravu směřující do Kanady poskytl elektronický přístup k záznamu o knihování cestujícího v rozsahu, v němž je tento záznam získán a obsažen v počítačových rezervačních systémech a systémech řízení odletů daného leteckého dopravce.
(6)
Požadavky na předávání osobních údajů cestujících v letecké dopravě, které jsou obsaženy v PNR, Agentuře kanadské pohraniční služby vyplývají z oddílu 107.1 celního zákona (Customs Act) a odst. 148 písm. d) zákona o přistěhovalectví a ochraně uprchlíků (Immigration and Refugee Protection Act) a z prováděcích nařízení přijatých podle uvedených zákonů (3).
(7)
Dotyčné právní předpisy Kanady se týkají posílení bezpečnosti a podmínek, za nichž mohou fyzické osoby vstupovat do země, tedy záležitostí, o nichž má Kanada svrchované právo rozhodovat v rámci své jurisdikce. Kromě toho nejsou stanovené požadavky neslučitelné s jakýmikoli mezinárodními závazky, které Kanada přijala. Kanada je demokratickou zemí s vládou práva a silnou tradicí občanských svobod. O legitimitě jejího zákonodárného procesu a síle a nezávislosti jejího soudnictví není pochyb. Další silnou zárukou proti porušování občanských svobod je svoboda tisku.
(8)
Společenství je plně odhodláno podporovat Kanadu v boji s terorismem v mezích daných právem Společenství. Právo Společenství vyžaduje dosažení nezbytné rovnováhy mezi bezpečnostními obavami a obavami o zachování soukromí. Například článek 13 směrnice 95/46/ES stanoví, že členské státy mohou přijmout legislativní opatření s cílem omezit rozsah některých požadavků uvedené směrnice, je-li to nutné z důvodů bezpečnosti státu, obrany, veřejné bezpečnosti a předcházení trestným činům a jejich vyšetřování, odhalování a stíhání.
(9)
Do předávání dotyčných údajů jsou zapojeni zvláštní správci, jmenovitě letecké společnosti, které provozují lety ze Společenství do Kanady, a pouze jeden příjemce v Kanadě, jmenovitě CBSA.
(10)
Jakékoli ujednání týkající se vytvoření právního rámce pro předávání PNR do Kanady, zejména prostřednictvím tohoto rozhodnutí, by mělo být časově omezeno. Bylo proto dohodnuto období tří a půl let. Během tohoto období může dojít k výrazné změně situace a Společenství i Kanada se shodují, že bude nutné tato ujednání přezkoumat.
(11)
Zpracování osobních údajů cestujících v letecké dopravě, které jsou obsaženy v PNR, agenturou CBSA se řídí podmínkami stanovenými v závazcích Agentury kanadské pohraniční služby, pokud jde o uplatňování jejího programu PNR (dále jen „závazky“) a ve vnitrostátních právních předpisech Kanady v rozsahu uvedeném v závazcích.
(12)
Ve vnitrostátním právu Kanady mají v této souvislosti význam zákon na ochranu soukromí (Privacy Act), zákon o přístupu k informacím (Access to Information Act) a oddíl 107 celního zákona (Customs Act) v míře, v níž upravují podmínky, za kterých může CBSA zamítnout žádosti o sdělení a tudíž zachovat důvěrnost PNR. Zákon na ochranu soukromí upravuje sdělování PNR osobě, jíž se týká, což je úzce spojeno s právem subjektu údajů na přístup k údajům. Zákon na ochranu soukromí platí pouze pro osoby, které se zdržují v Kanadě. CBSA však navíc umožňuje přístup k informacím v PNR týkajícím se cizích státních příslušníků v případě, že se příslušná osoba nezdržuje v Kanadě.
(13)
V odstavci 43 závazků je uvedeno, že jejich ustanovení jsou začleněna do stávajícího kanadského práva, nebo jsou zakotvena ve vnitrostátních nařízeních vypracovaných speciálně za tímto účelem, a proto budou mít právní účinek. Úplné znění závazků bude zveřejněno v kanadském věstníku Canada Gazette. Jako takové představují ze strany CBSA vážný a uvážený závazek a jejich plnění bude podléhat společnému přezkumu ze strany Kanady a Společenství. Proti neplnění by bylo možné postupovat příslušnými právními, administrativními a politickými cestami a v případě přetrvávajícího neplnění by došlo k pozastavení účinků tohoto rozhodnutí.
(14)
Normy, podle nichž bude CBSA zpracovávat údaje o cestujících obsažené v PNR na základě kanadských právních předpisů a závazků, obsahují základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob.
(15)
Pokud jde o zásadu účelového omezení, budou osobní údaje cestujících v letecké dopravě obsažené v PNR, které byly předány agentuře CBSA, zpracovány pro zvláštní účel a následně využity nebo dále sděleny pouze v té míře, která je slučitelná s účelem předání. Především jde o to, že údaje obsažené v PNR budou využity výhradně pro účely prevence a potírání: terorismu a souvisejících zločinů a jiných závažných zločinů s nadnárodní povahou, včetně organizovaného zločinu.
(16)
Pokud jde o kvalitu údajů a zásadu přiměřenosti, kterou je třeba zvažovat ve vztahu k významným důvodům veřejného zájmu, kvůli nimž se údaje v PNR předávají, nebude CBSA údaje obsažené v PNR, které jí byly poskytnuty následně měnit. Bude předávat maximálně 25 kategorií údajů v PNR a CBSA bude konzultovat Evropskou Komisi a dohodne se s ní v případě revize 25 požadovaných datových prvků PNR uvedených v příloze A, a to před provedením takové revize. Dodatečné osobní údaje, které budou požadovány bezprostředně na základě údajů obsažených v PNR, budou získávány z mimovládních zdrojů pouze zákonnými cestami. Platí obecné pravidlo, podle něhož bude PNR vymazán po maximálně 3 letech a 6 měsících.
(17)
Pokud jde o zásadu transparentnosti, poskytne CBSA cestujícím informace o účelu předávání a zpracování, o totožnosti správce údajů, jakož i další informace.
(18)
Pokud jde o zásadu bezpečnosti, přijme CBSA taková technická a organizační opatření, která jsou přiměřená rizikům, jež představuje zpracování.
(19)
Zákon na ochranu soukromí přiznává práva na přístup, opravu a záznam osobám zdržujícím se v Kanadě. CBSA rozšíří tato práva týkající se údajů v PNR, které má k dispozici, na cizí státní příslušníky nezdržující se v Kanadě. Předpokládané výjimky jsou zhruba srovnatelné s omezeními, která mohou členské státy zavést podle článku 13 směrnice 95/46/ES.
(20)
Údaje lze na individuálním základě dále předat jiným vládním orgánům, včetně orgánů zahraničních vlád, pro účely, které jsou totožné nebo v souladu s účely vymezenými v ustanovení o účelovém omezení týkajícím se minimálního množství údajů. Údaje mohou být také předány z důvodů ochrany životně důležitých zájmů subjektu údajů nebo jiných osob, zejména pokud jde o významná zdravotní rizika nebo v jakémkoli soudním řízení či v jiných případech vyžadovaných zákonem. Přijímající úřady jsou podle výslovných podmínek upravujících sdělování povinny využít údaje pouze k těmto účelům a nepředávat údaje dále bez souhlasu CBSA. Prostřednictvím databází CBSA nemá k údajům PNR přímý elektronický přístup žádný jiný zahraniční, federální, provinciální nebo místní orgán. CBSA odmítne veřejné sdělení PNR na základě výjimek z příslušných ustanovení zákona o přístupu k informacím a zákona na ochranu soukromí.
(21)
CBSA nezíská citlivé údaje ve smyslu článku 8 směrnice 95/46/ES.
(22)
Pokud jde o donucovací mechanismy, které mají zajistit dodržování těchto zásad ze strany CBSA, je zajištěno školení a informování zaměstnanců CBSA a jsou stanoveny postihy pro jednotlivé zaměstnance. Všeobecná úcta k soukromí ze strany CBSA bude pod kontrolou nezávislého Úřadu kanadského komisaře pro ochranu soukromí (Office of the Canadian Privacy Commissioner) v souladu s podmínkami stanovenými v Kanadské listině práv a svobod (Canadian Charter of Rights and Freedoms) a v zákoně na ochranu soukromí. Komisař pro ochranu soukromí může řešit stížnosti, které mu předají orgány členských států na ochranu údajů jménem osob, které jsou rezidenty ve Společenství, pokud se takové osoby domnívají, že CBSA jejich stížnost nevyřešila uspokojivě. Dodržování závazků bude předmětem každoročního společného přezkumu, který provede CBSA spolu s týmem vedeným Komisí.
(23)
V zájmu transparentnosti a s cílem zachovat schopnost příslušných orgánů členských států zajistit ochranu jednotlivců, pokud jde o zpracování jejich osobních údajů, je nutné upřesnit výjimečné okolnosti, za nichž je možné odůvodnit pozastavení určitých toků údajů, aniž by byl dotčen závěr o odpovídající ochraně.
(24)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, která byla zřízena podle článku 29 směrnice 95/46/ES, vydala stanoviska o úrovni ochrany poskytované údajům cestujících ze strany kanadských orgánů, jímž se Komise řídila při jednání s CBSA. Komise vzala uvedená stanoviska při přípravě tohoto rozhodnutí na vědomí (4).
(25)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Pro účely čl. 25 odst. 2 směrnice 95/46/ES se má za to, že Agentura kanadské pohraniční služby (dále jen „CBSA“) poskytuje odpovídající úroveň ochrany údajů v PNR předávaných ze Společenství v souvislosti s lety směřujícími do Kanady v souladu se závazky stanovenými v příloze.
Článek 2
Toto rozhodnutí se týká odpovídající úrovně ochrany poskytované agenturou CBSA za účelem plnění požadavků čl. 25 odst. 1 směrnice 95/46/ES a nemá vliv na ostatní podmínky nebo omezení, jimiž se provádějí jiná ustanovení uvedené směrnice, která souvisejí se zpracováním osobních údajů ve členských státech.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států činit kroky za účelem zajištění souladu s vnitrostátními ustanoveními přijatými podle jiných ustanovení než článku 25 směrnice 95/46/ES, mohou příslušné orgány členských států uplatnit své stávající pravomoci pozastavit toky údajů do CBSA s cílem ochránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v následujících případech:
a)
pokud příslušný orgán Kanady stanovil, že CBSA porušuje platné normy ochrany; nebo
b)
pokud existuje vysoká pravděpodobnost, že jsou porušovány normy ochrany stanovené v příloze, existují rozumné důvody k domněnce, že CBSA nečiní nebo neučiní přiměřené a včasné kroky k vyřešení dané skutečnosti, pokračující předávání by vytvořilo bezprostřední riziko vážné újmy subjektům údajů a příslušné orgány členského státu vynaložily v dané situaci úsilí, aby v tom CBSA uvědomily a poskytly jí příležitost k reakci.
2. Pozastavení skončí, jakmile budou zajištěny normy ochrany a budou o tom informovány příslušné orgány dotyčných členských států.
Článek 4
1. Členské státy neprodleně informují Komisi, pokud přijmou opatření podle článku 3.
2. Členské státy a Komise se vzájemně informují o jakýchkoli změnách norem ochrany a o případech, kdy opatření orgánů odpovědných za zajištění dodržování norem ochrany ze strany CBSA v souladu s přílohou nejsou pro zajištění dodržování uvedených norem dostačující.
3. Jestliže informace shromážděné podle článku 3 a podle odstavců 1 a 2 tohoto článku poskytnou důkazy, že přestaly být dodržovány základní zásady nutné pro odpovídající úroveň ochrany fyzických osob nebo že jakýkoli orgán odpovědný za zajišťování dodržování norem ochrany ze strany CBSA v souladu s přílohou neplní účinně svou úlohu, bude o tom CBSA informována a v případě potřeby se použije postup uvedený v čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit nebo pozastavit toto rozhodnutí.
Článek 5
Fungování tohoto rozhodnutí se bude sledovat a jakákoli související zjištění budou oznámena výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoli důkazů, které by mohly ovlivnit závěr uvedený v článku 1 tohoto rozhodnutí, podle něhož je ochrana osobních údajů cestujících v letecké dopravě, které jsou obsaženy v PNR a předávány agentuře CBSA, odpovídající ve smyslu článku 25 směrnice 95/46/ES.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do čtyř měsíců od data jeho oznámení.
Článek 7
Použitelnost tohoto rozhodnutí skončí tři roky a šest měsíců po datu jeho oznámení, pokud nebude prodloužena v souladu s postupem uvedeným v čl. 31 odst. 2 směrnice 95/46/ES.
Článek 8
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 6. září 2005.