KOMMISSIONENS BESLUTNING
af 14. maj 2004
om tilstrækkelig beskyttelse af personoplysninger, der er indeholdt i registre over flypassagerer, og som videregives til Amerikas Forenede Staters told- og grænsekontrolmyndighed (Bureau of Customs and Border Protection)
(meddelt under nummer K(2004) 1914)
(EØS-relevant tekst)
(2004/535/EF)
KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER HAR -
under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 25, stk. 6, og
ud fra følgende betragtninger:
(1)
Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at videregivelse af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og medlemsstaternes love til gennemførelse af direktivets øvrige bestemmelser overholdes inden videregivelsen.
(2)
Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan personoplysninger videregives fra medlemsstaterne uden yderligere garantier.
(3)
Vurderingen af databeskyttelsesniveauet skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger, og navnlig under hensyntagen til en række faktorer anført i direktivets artikel 25, stk. 2, der er relevante for den pågældende videregivelse.
(4)
I forbindelse med flytransport er PNR (»Passenger Name Record«, herefter benævnt »PNR-oplysninger«) de registrerede oplysninger om hver passagers rejseplan og indeholder alle de nødvendige oplysninger til, at henholdsvis det for reservationen ansvarlige luftfartsselskab og andre medvirkende luftfartsselskaber kan foretage og kontrollere reservationer. I forbindelse med denne beslutning skal »passager« og »passagerer« forstås således, at besætningsmedlemmer er omfattet. Ved »det for reservationen ansvarlige luftfartsselskab« forstås det luftfartsselskab, hvor passageren foretog sin oprindelige reservation, eller hvor passageren foretog yderligere reservationer efter rejsens påbegyndelse. Ved »medvirkende luftfartsselskaber« forstås luftfartsselskaber, som det for reservationen ansvarlige luftfartsselskab har anmodet om at reservere plads til en passager på et eller flere af deres flyafgange.
(5)
USA’s told- og grænsekontrolmyndighed (Bureau of Customs and Border Protection, herefter benævnt »CBP«) under ministeriet for national sikkerhed (Department of Homeland Security, herefter benævnt »DHS«) kræver, at ethvert luftfartsselskab, der transporterer passagerer med fly til eller fra USA, skal give CBP elektronisk adgang til PNR-oplysninger, for så vidt som PNR-oplysninger indsamles og lagres i luftfartsselskabets elektroniske reservationssystem.
(6)
Kravet om videregivelse af de personoplysninger, der fremgår af flypassagerers PNR-registrering, til CBP, har hjemmel i en lov, som USA vedtog i november 2001 (2) og i en række gennemførelsesbestemmelser, som CBP vedtog i medfør af denne lov (3).
(7)
De pågældende amerikanske regler har til formål at forbedre sikkerheden og skærpe betingelserne for ind- og udrejse, dvs. områder, hvor USA har absolut suverænitet til at træffe afgørelser inden for eget jurisdiktionsområde. De fastsatte krav er desuden ikke i strid med USA’s internationale forpligtelser. USA er et demokratisk land og et retssamfund med stærke traditioner med hensyn til borgerlige frihedsrettigheder. Der kan ikke stilles spørgsmålstegn ved legitimiteten af USA’s lovgivningsproces og den dømmende magts styrke og uafhængighed. En anden stærk garanti imod krænkelsen af de borgerlige frihedsrettigheder er landets pressefrihed.
(8)
Fællesskabet støtter fuldt ud USA i bekæmpelsen af terrorisme inden for de begrænsninger, der følger af fællesskabsretten. I henhold til fællesskabsretten skal der tilvejebringes den nødvendige balance mellem sikkerhedshensyn og hensyn til privatlivets fred. For eksempel fastsættes det i artikel 13 i direktiv 95/46/EF, at medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af visse krav i direktivet, hvis dette er nødvendigt af hensyn til statens sikkerhed, forsvaret, den offentlige sikkerhed og forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager.
(9)
Den pågældende videregivelse af oplysninger vedrører bestemte registeransvarlige, nemlig luftfartsselskaber, der beflyver ruter mellem Fællesskabet og USA, og kun én modtager i USA, nemlig CBP.
(10)
Enhver aftale, der indgås for at opstille retlige rammer for overførslen af PNR-oplysninger til USA, særlig på grundlag af denne beslutning, bør være tidsbegrænset. Parterne har aftalt en periode på tre og et halvt år. Forholdene kan ændre sig betydeligt i denne periode, og Fællesskabet og USA er enige om, at det bliver nødvendigt at foretage en evaluering af ordningen.
(11)
CBP’s behandling af de personoplysninger, der er indeholdt i flypassagerernes PNR-registrering, og som videregives til CBP, er underlagt forpligtelseserklæringen af 11. maj 2004 fra Department of Homeland Security Bureau of Customs and Border Protection (herefter benævnt »forpligtelseserklæringen«) og USA’s nationale lovgivning i det i forpligtelseserklæringen anførte omfang.
(12)
Hvad angår USA’s nationale lovgivning er loven om informationsfrihed (Freedom of Information Act, herefter benævnt »FOIA«) relevant i denne sammenhæng, idet den fastsætter, på hvilke betingelser CBP kan afvise en anmodning om videregivelse og således sikre en fortrolig behandling af PNR. Loven regulerer videregivelsen af PNR til den pågældende registrerede, hvilket er tæt knyttet til princippet om den registreredes ret til aktindsigt. Den finder anvendelse på både personer med amerikansk statsborgerskab og andre.
(13)
Hvad angår forpligtelseserklæringen vil indholdet af denne som fastsat i punkt 44 blive eller allerede være blevet indarbejdet i love (statutes), bekendtgørelser (regulations), direktiver (directives) eller andre lovgivningsinstrumenter i USA og vil således få forskellig grad af retsvirkning. Forpligtelseserklæringen vil blive offentliggjort in extenso i Federal Register af DHS. De udgør således en betydelig og solid politisk forpligtelse fra DHS, og USA og Fællesskabet vil foretage en fælles evaluering af, hvorvidt forpligtelseserklæringen overholdes. Enhver manglende overholdelse kan efter omstændighederne anfægtes ad retlig, administrativ eller politisk vej og kan, såfremt den manglende overholdelse er af vedvarende karakter, føre til, at denne beslutning suspenderes.
(14)
Beskyttelsesnormerne for CBP’s behandling af passagerernes PNR-oplysninger på grundlag af USA’s lovgivning og forpligtelseserklæringen omfatter de grundlæggende principper, der er nødvendige for at sikre en tilstrækkelig databeskyttelse for fysiske personer.
(15)
Hvad angår formålsbegrænsningsprincippet bliver flypassagerers personoplysninger, der er indeholdt i PNR-registreringen, og som videregives til CBP, behandlet til et specifikt formål og kun efterfølgende anvendt og videre overført, hvis dette ikke er uforeneligt med formålet med videregivelsen. Især anvendes PNR-oplysninger udelukkende til at forebygge og bekæmpe terrorisme og dermed forbundne forbrydelser, andre alvorlige forbrydelser, herunder organiseret kriminalitet, der har tværnational karakter, og flugt fra en anholdelse eller varetægtsfængsling for denne kriminalitet.
(16)
Hvad angår princippet om datakvalitet og dataproportionalitet, som der skal tages behørigt hensyn til i forbindelse med de vigtige samfundsinteresser, af hensyn til hvilke PNR-oplysningerne overføres, vil CBP efter modtagelsen ikke efterfølgende ændre i PNR-oplysningerne. Der overføres højst 34 PNR-datakategorier, og de amerikanske myndigheder vil høre Kommissionen, inden der stilles yderligere krav. Supplerende personoplysninger, der søges som et direkte resultat af konkrete PNR-oplysninger, kan kun indhentes fra andre kilder end offentlige registre, såfremt det er lovlige kilder. Generelt slettes PNR-oplysninger efter højst tre år og seks måneder, undtagen oplysninger, der er blevet anvendt i forbindelse med en konkret efterforskning, eller som på anden vis er blevet konsulteret manuelt.
(17)
Hvad angår gennemsigtighedsprincippet oplyser CBP de rejsende om formålet med videregivelsen og behandlingen, identiteten på den registeransvarlige i tredjelandet samt andre forhold.
(18)
Hvad angår sikkerhedsprincippet træffer CBP de tekniske og organisatoriske sikkerhedsforanstaltninger, som må anses for passende i forhold til de risici, behandlingen indebærer.
(19)
Retten til indsigt og berigtigelse er sikret ved, at den registrerede kan anmode om en kopi af sine PNR-oplysninger og om berigtigelse af urigtige oplysninger. De undtagelser, der finder anvendelse, svarer stort set til de begrænsninger, som medlemsstaterne kan anvende i henhold til artikel 13 i direktiv 95/46/EF.
(20)
Efterfølgende videregivelse til andre statslige organer, herunder udenlandske, med terrorbekæmpelses- eller retshåndhævelsesfunktioner kan under hensyn til sagens konkrete omstændigheder ske med de i begrænsningserklæringen nævnte formål. Videregivelse kan også finde sted til beskyttelse af de registreredes eller andre personers vitale interesser, særlig med hensyn til alvorlige helbredsrisici, i forbindelse med straffesager eller på anden vis i henhold til loven. Organer, der modtager data, må i henhold til bestemmelserne om videregivelse kun anvende disse oplysninger til disse formål, og de må ikke selv foretage yderligere videregivelse uden godkendelse fra CBP. Ingen andre udenlandske, federale, delstatslige eller lokale organer har direkte elektronisk adgang til PNR-oplysninger via CBP’s databaser. CBP vil med hjemmel i undtagelserne fra de relevante FOIA-bestemmelser afslå offentlig adgang til PNR.
(21)
CBP anvender ikke følsomme oplysninger som omhandlet i artikel 8 i direktiv 95/46/EF og forpligter sig til at indføre hjælpemidler til at slette sådanne oplysninger og til ikke at anvende dem, indtil der indføres et filtersystem, der sorterer sådanne oplysninger fra de PNR, der overføres til USA.
(22)
Hvad angår de håndhævelsesmekanismer, der skal sikre, at CBP overholder disse principper, er der truffet foranstaltninger til uddannelse og information af CBP’s personale og indført sanktioner, der kan anvendes mod de enkelte ansatte. CBP's overholdelse af bestemmelserne om beskyttelse af privatlivets fred kontrolleres generelt af DHS' ansvarlige for beskyttelse af privatlivets fred (Chief Privacy Officer), som er embedsmand i DHS, men har en betydelig organisatorisk selvstændighed og årligt skal aflægge rapport til Kongressen. Personer, hvis PNR-oplysninger er blevet videregivet, kan klage til CBP eller, såfremt klagen ikke færdigbehandles, til DHS' ansvarlige for beskyttelse af privatlivets fred enten direkte eller gennem medlemsstaternes databeskyttelsesmyndigheder. DHS' ansvarlige for beskyttelse af privatlivets fred vil hastebehandle klager, som bliver henvist fra medlemsstaternes databeskyttelsesmyndigheder på vegne af personer, der er bosiddende i Det Europæiske Fællesskab, hvis den pågældende mener, at CBP eller DHS' kontor for beskyttelse af privatlivets fred ikke har behandlet klagen på tilfredsstillende vis. CBP vil, i samarbejde med DHS og en gruppe ledet af Kommissionen, årligt foretage en evaluering af, hvorvidt forpligtelseserklæringen er overholdt.
(23)
Af hensyn til åbenheden og for at sikre medlemsstaternes kompetente myndigheders beføjelser til at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger er det nødvendigt at specificere, under hvilke særlige omstændigheder det kan være berettiget at suspendere specifik videregivelse af personoplysninger, selv om det er blevet konstateret, at beskyttelsen er tilstrækkelig.
(24)
Den ved artikel 29 i direktiv 95/46/EF nedsatte gruppe vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger har afgivet udtalelser om det beskyttelsesniveau, som USA sikrer passageroplysninger (4) og disse har været vejledende for Kommissionen i dens forhandlinger med DHS. Kommissionen har inddraget disse udtalelser i dens udarbejdelse af denne beslutning.
(25)
De i denne beslutning fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det ved artikel 31, stk. 1, i direktiv 95/46/EF nedsatte udvalg -
VEDTAGET FØLGENDE BESLUTNING:
Artikel 1
USA’s told- og grænsekontrolmyndighed (Bureau of Customs and Border Protection, herefter benævnt »CBP«) anses for så vidt angår artikel 25, stk. 2, i direktiv 95/46/EF for at sikre et tilstrækkeligt beskyttelsesniveau for PNR-oplysninger vedrørende flyvninger til eller fra USA, der videregives fra Fællesskabet, i overensstemmelse med forpligtelseserklæringen i bilaget.
Artikel 2
Denne beslutning vedrører spørgsmålet om, hvorvidt CBP sikrer en tilstrækkelig beskyttelse til at opfylde kravene i artikel 25, stk. 1, i direktiv 95/46/EF, og beslutningen berører ikke andre betingelser eller begrænsninger i forbindelse med gennemførelsen af andre bestemmelser i direktivet, der vedrører behandlingen af personoplysninger i medlemsstaterne.
Artikel 3
1. De kompetente myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger for at sikre overholdelse af nationale bestemmelser, der er udstedt i henhold til andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser til at suspendere videregivelsen af oplysninger til CBP for at beskytte fysiske personer med hensyn til behandlingen af personoplysninger om dem:
a)
når en kompetent myndighed i USA har fastslået, at CBP overtræder gældende beskyttelsesnormer, eller
b)
når der er stor sandsynlighed for, at beskyttelsesnormerne i bilaget overtrædes, der er tilstrækkelig grund til at antage, at CBP ikke træffer eller ikke agter at træffe passende og rettidige foranstaltninger til at løse den pågældende sag, fortsat videregivelse af personoplysninger ville indebære overhængende risiko for at påføre de registrerede en alvorlig skade, og de kompetente myndigheder i medlemsstaten har udvist efter omstændighederne rimelige bestræbelser på at underrette CBP og givet denne mulighed for at svare.
2. Suspenderingen ophæves, når beskyttelsesnormerne overholdes, og de kompetente myndigheder i de pågældende medlemsstater underrettes herom.
Artikel 4
1. Medlemsstaterne underretter straks Kommissionen, hvis der træffes foranstaltninger i henhold til artikel 3.
2. Medlemsstaterne og Kommissionen underretter hinanden om enhver ændring af beskyttelsesnormerne samt om tilfælde, hvor de organer, som skal sikre, at CBP overholder beskyttelsesnormerne i bilaget, ikke sikrer denne overholdelse.
3. Hvis det fremgår af de oplysninger, der indsamles i henhold til artikel 3 og denne artikels stk. 1 og 2, at grundlæggende principper, der er nødvendige for at sikre et tilstrækkeligt beskyttelsesniveau for fysiske personer, ikke længere overholdes, eller at et organ, der skal sikre, at CBP overholder beskyttelsesnormerne i bilaget, ikke opfylder sin rolle effektivt, skal CBP underrettes, og hvis det er nødvendigt, skal proceduren i artikel 31, stk. 2, i direktiv 95/46/EF anvendes med henblik på at ophæve eller suspendere denne beslutning.
Artikel 5
Der skal føres tilsyn med anvendelsen af denne beslutning, og alle relevante forhold skal indberettes til det ved artikel 31 i direktiv 95/46/EF nedsatte udvalg, herunder alle forhold, der kan påvirke konstateringen i artikel 1 i denne beslutning af, at beskyttelsen af de personoplysninger, der er indeholdt i flypassagerers PNR, og som overføres til CBP, er tilstrækkelig i henhold til artikel 25 i direktiv 95/46/EF.
Artikel 6
Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne beslutning senest fire måneder efter, at den er meddelt dem.
Artikel 7
Denne beslutning udløber 3 år og 6 måneder efter at den er meddelt, medmindre den forlænges efter proceduren i artikel 31, stk. 2, i direktiv 95/46/EF.
Artikel 8
Denne beslutning er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 14. maj 2004.
A BIZOTTSÁG HATÁROZATA
(2004. május 14.)
az Egyesült Államok Vámügyi és Határvédelmi Irodája rendelkezésére bocsátott, a légiutasok utasnyilvántartási adatállományában tárolt személyes adatok megfelelő védelméről
(Az értesítés a B(2004) 1914., számú dokumentummal történt)
(EGT vonatkozású szöveg)
(2004/535/EK)
AZ EURÓPAI KÖZÖSSÉGEK BIZOTTSÁGA,
tekintettel az Európai Közösséget létrehozó szerződésre,
tekintettel a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre (1) és különösen annak 25. cikke (6) bekezdésére,
mivel:
(1)
A 95/46/EK irányelv értelmében a tagállamoknak rendelkezniük kell arról, hogy a személyes adatok csak akkor továbbíthatók harmadik országba, ha az adott harmadik ország megfelelő védelmi szintet tud biztosítani, és csak akkor, amennyiben az ezen irányelv egyéb rendelkezéseit végrehajtó tagállami jogszabályok már az adattovábbítás előtt megfelelnek az irányelvnek.
(2)
A Bizottság megállapíthatja, hogy egy harmadik ország megfelelő védelmi szintet biztosít. Ebben az esetben a személyes adatokat a tagállamoktól továbbítani lehet anélkül, hogy további garanciákra lenne szükség.
(3)
A 95/46/EK irányelv értelmében az adatvédelem szintjét az adattovábbítási művelet vagy adattovábbítási műveletsorozat feltételeinek figyelembevételével kell értékelni; továbbá különös figyelmet kell fordítani a 25. cikk (2) bekezdésében felsorolt számos, az adattovábbítás szempontjából fontos elemre.
(4)
A légiközlekedés keretében a Passenger Name Record (PNR) (utasnyilvántartási adatállomány) egy olyan adatállományt jelent, mely az egyes utasok az utazáshoz kötelezően megadandó adatait tartalmazza, és amely minden olyan információt magában foglal, melyek ahhoz szükségesek, hogy a jegykiállító és résztvevő légitársaságok elvégezhessék és ellenőrizhessék a foglalásokat. E határozat alkalmazásában az „utas” és az „utasok” kifejezés a személyzet tagjait is magában foglalja. „Jegykiállító légitársaság” az olyan légitársaságokat jelenti, melyeknél az utas eredeti foglalását leadta vagy amelyekhez további foglalások érkeztek be az utazás megkezdése után. A „résztvevő légitársaság” olyan légitársaságot jelöl, melynél a jegykiállító légitársaság egy vagy több járatára az utasa számára helyet foglalt.
(5)
Minden egyes olyan légifuvarozó, aki nem belföldi légiközlekedésben az Egyesült Államokból érkező vagy oda tartó utasszállító járat működtetésében érdekelt, köteles a Departments of Homeland Security (DHS) (Belbiztonsági Minisztérium) alá tartozó United States Bureau of Customs and Border Protection (CBP) (Egyesült Államok Vámügyi és Határvédelmi Irodája) számára elektronikus hozzáférést biztosítani a PNR-hez olyan mértékben, ahogy az a légifuvarozók automatizált foglalási rendszerében összegyűjtésre került.
(6)
A CBP részére továbbítandó, a légiutasok, a PNR-ben szereplő személyes adataival kapcsolatos kötelezően megadandó információk az Egyesült Államok által 2001 novemberében elfogadott törvényben (2), illetve a CBP által az alapján elfogadott végrehajtási rendelkezéseken alapul (3).
(7)
E jogszabályok a biztonság megerősítését, valamint a személyek ki- és beléptetésének feltételeit érintik - két olyan kérdés, amelyben az Egyesült Államoknak szuverén joga van joghatóságán belül dönteni. A megállapított követelmények továbbá nem összeférhetetlenek egyetlen, az Egyesült Államok által vállalt nemzetközi kötelezettségvállalással sem. Az Egyesült Államok egy olyan demokratikus ország, mely a jogállamiság elve, illetve az emberi szabadságjogokon alapuló szilárd tradíció alapján működik. Az Egyesült Államok jogalkotási folyamatának legitimitása és bíróságának szilárdsága és függetlensége nem kérdéses. A sajtószabadság pedig további garanciát nyújt az emberi szabadságjogok megsértése ellen.
(8)
A Közösség teljes mértékben támogatja az Egyesült Államok terrorizmus elleni küzdelmét a közösségi jog által megadott határokon belül. A közösségi jog előírja a biztonsági kérdések és a magánélet tiszteletben tartásával kapcsolatos kérdések közötti szükséges egyensúly megteremtését. Például a 95/46/EK irányelv 13. cikke előírja, hogy a tagállamok, amennyiben szükséges, jogszabályokat fogadhatnak el az irányelv által támasztott egyes követelmények körének korlátozására, nemzetbiztonsági, honvédelmi, közbiztonsági okokból kifolyólag, valamint bűncselekmények megelőzése, vizsgálata, felderítése és az ezekkel kapcsolatos eljárások lefolytatása érdekében.
(9)
A szóban forgó adattovábbításban részt vesznek bizonyos adatkezelők, nevezetesen azok a légitársaságok, melyek járatokat üzemeltetnek a Közösség és az Egyesült Államok között, valamint az Egyesült Államok területén a CBP, mint annak kizárólagos címzettje.
(10)
Bármely olyan intézkedést, mely jogi keretet határoz meg - különösen e határozat által - a PNR-adatok az Egyesült Államok részére való továbbításáról, határidőhöz kell kötni. A korlátozás három és fél éves időszakban lett megállapítva. Miután ezen időszak alatt a körülmények jelentősen változhatnak, a Bizottság és az Egyesült Államok egyetértenek abban, hogy szükség lesz az intézkedések felülvizsgálatára.
(11)
A CBP, a részére továbbított, a légiutasok PNR-adatállományában szereplő személyes adatok feldolgozását a Department of Homeland Security, Bureau of Customs and Border Protection (CBP) 2004. május 11-i Kötelezettségvállalásaiban (a továbbiakban „Kötelezettségvállalások”) és az Egyesült Államok nemzeti jogszabályaiban megállapított feltételek mellett végzi a Kötelezettségvállalásokban meghatározottaknak megfelelően.
(12)
Az Egyesült Államok nemzeti jogszabályai tekintetében a Freedom of Information Act (FOIA) (az információ szabadságáról szóló törvény) azért fontos a jelenlegi kontextusban, mert szabályozza azon feltételeket, melyek mellett a CBP elutasíthatja az adatok közzétételére vonatkozó kérelmeket és így megőrizheti a PNR titkosságát, továbbá mert - szoros kapcsolatban az érintett személy betekintési jogával -, megszabja a PNR az érintett számára való nyilvánosságra hozatalát. A FOIA megkülönböztetés nélkül vonatkozik mind az Egyesült Államok állampolgáraira, mind más állampolgárokra.
(13)
A Kötelezettségvállalások tekintetében, és annak (44) bekezdésének megfelelően, a Kötelezettségvállalásokban szereplő kijelentések az Egyesült Államokban bekerülnek vagy már beépültek törvényekbe, rendeletekbe, irányelvekbe vagy más jogalkotási eszközökbe és így különböző fokú jogi hatással rendelkeznek. A Kötelezettségvállalások teljes egészében kihirdetésre kerülnek a DHS felügyelete alatt kiadott Federal Register-ben (szövetségi közlöny). Mint ilyen, a DHS részéről komoly és jól megfontolt politikai kötelezettségvállalást jelentenek, melyek betartása az Egyesült Államok és a Közösség által közösen elvégzett felülvizsgálat tárgya lesz. A Kötelezettségvállalások megsértése értelemszerűen jogi, igazgatási és politikai csatornákon keresztül kifogásolható és amennyiben megsértésük folyamatos, az ezen határozat hatályon kívül helyezését okozhatja.
(14)
Az Egyesült Államok jogszabályain és a Kötelezettségvállalásokon alapuló követelményrendszer, mely alapján a CBP az utasok PNR-adatait kezeli, magában foglalja a természetes személyek adatainak megfelelő szintű védelméhez szükséges alapelveket.
(15)
A célhozkötöttség elve tekintetében, a CBP részére továbbított, a légiutasok PNR-ben szereplő személyes adatait egy konkrét célra használják fel és a továbbiakban csak olyan mértékben használják fel vagy adják tovább, amennyiben az nem összeférhetetlen az adattovábbítás céljával. A PNR-adatokat szigorúan olyan célokra használják fel, melyek a terrorizmus és a kapcsolódó bűncselekmények, a transznacionális jelleget öltő szervezett bűnözést magában foglaló egyéb súlyos bűncselekmények, illetve a fenti bűncselekményekért járó letartóztatás, illetve elfogatóparancs előli menekülés megelőzését és az elleni küzdelmet szolgálják.
(16)
A PNR-adatok fontos közérdeket szolgáló továbbítása szempontjából figyelembe veendő adatminőség és arányosság elve tekintetében, a CBP a részére továbbított PNR-adatokat a későbbiekben nem változtatja meg. Legfeljebb 34 PNR-adat kategóriát lehet továbbítani, továbbá az Egyesült Államok hatóságainak e lista bármely további adatkövetelménnyel való bővítése előtt konzultálnia kell a Bizottsággal. A PNR-adatokból levezethető további személyes információk kormányon kívüli forrásokból csak törvényes csatornákon keresztül szerezhetők be. Általában a PNR-t legkésőbb 3 év és 6 hónap után törölni kell, kivéve azon adatokat, melyeket egy adott nyomozás céljából adtak ki, vagy másképpen manuálisan konzultáltak.
(17)
Az átláthatóság elve tekintetében, a CBP egyéb információk mellett, tájékoztatja az utasokat az adattovábbítás és az adatfeldolgozás céljáról, illetve a harmadik országbeli adatkezelő személyazonosságáról.
(18)
A biztonsági elv vonatkozásában, a CBP technikai és szervezési biztonsági intézkedéseket hoz, amelyek a feldolgozás folyamán felmerülő veszélyek kezeléséhez megfelelőek.
(19)
Amennyiben az érintett személy másolatot kér a PNR-adatokról, illetve a téves adat helyesbítését kéri, a betekintési jogát és az adathelyesbítéshez való jogát tiszteletben kell tartani. Az előirányzott kivételek nagy mértékben hasonlítanak a 95/46/EK irányelv 13. cikkében szereplő, a tagállamok által megszabható korlátozásokra.
(20)
Adatot lehet továbbítani ezen kívül egyéb kormányzati szerveknek, beleértve olyan külföldi kormányzati szerveket, melyek terrorizmusellenes vagy bűnüldözési szerepköre van, eseti elbírálás szerint olyan célokból, amelyek megfelelnek a célhozkötöttségi nyilatkozatban foglalt céloknak. Szintén sor kerülhet adattovábbításra amennyiben ez az érintett vagy egyéb személyek számára életbevágóan fontos, különösen jelentős egészségügyi veszélyeztetés vagy bármely büntetőjogi bírósági eljárás folyamán, illetve más, törvény által megkövetelt esetekben. A befogadó ügynökségek a nyilvánosságra hozatal egyértelmű feltételei szerint kötelesek az adatokat csak az említett célból felhasználni, továbbá a CBP beleegyezése nélkül nem továbbíthatják az adatokat. A CBP adatbázisán keresztül egyetlen egy külföldi, szövetségi, állami vagy helyi ügynökségnek sincs közvetlen elektronikus hozzáférése a PNR-adatokhoz. A CBP megtagadja a PNR nyilvánosságra hozatalát a FOIA erre vonatkozó kivételeket meghatározó rendelkezései alapján.
(21)
A 95/46/EK irányelv 8. cikke értelmében a CBP nem használ fel különleges adatokat és ameddig egy, az Egyesült Államok számára továbbított PNR-ból az ilyen adatok kiszűrésére alkalmas rendszert nem állítanak fel, a CBP vállalja, hogy olyan eszközöket vezet be, melyek révén az említett adatok kitörölhetők úgy, hogy közben azok nem kerülnek felhasználásra.
(22)
A végrehajtási mechanizmusok tekintetében annak biztosítása érdekében, hogy a CBP ezen elveket betartsa, a CBP személyzete képzésben és tájékoztatásban részesül, továbbá a személyzet tagjaira vonatkozólag szankciók kerülnek bevezetésre. A magánélet általános tiszteletben tartását a CBP által a DHS Chief Privacy Officer (személyiségvédelmi főigazgató) ellenőrzi, aki, bár a DHS tisztviselője, széles körű szervezési autonómiával rendelkezik és éves beszámolási kötelezettséggel tartozik a Kongresszus felé. Azon személyek, kiknek PNR-adatait továbbították, panasszal fordulhatnak a CBP-hez, vagy amennyiben ez nem vezet eredményre, a DHS Chief Privacy Officer-hez, közvetlenül vagy a tagállamok adatvédelmi hatóságain keresztül. A DHS Privacy Office (Személyiségvédelmi Iroda) a tagállamok adatvédelmi hatóságai által felé továbbított, az Európai Unió területén lakóhellyel rendelkező polgároktól beérkező panaszokat gyorsított eljárásban kezeli, amennyiben a kérdéses polgár úgy véli, hogy panaszát a CBP vagy a DHS Privacy Office nem vizsgálta ki kielégítően. A Kötelezettségvállalások betartását minden évben közösen felülvizsgálja a CBP és a DHS, illetve egy, a Bizottság által vezetett csoport.
(23)
Az átláthatóság érdekében, illetve a tagállami illetékes szervek azon képességének biztosítása érdekében, hogy biztosítsák az egyének védelmét személyes adataik feldolgozása tekintetében, meg kell határozni azon rendkívüli körülményeket, melyek esetén a specifikus adatfolyam felfüggesztése igazolt lehet, annak ellenére, hogy a védelmi szintet megfelelőnek találták.
(24)
A 95/46/EK irányelv 29. cikke által létrehozott a személyesadat-feldolgozás vonatkozásában az egyének védelmével foglalkozó munkacsoport véleményeket adott ki az utasok adatai tekintetében az Egyesült Államok hatóságai által biztosított védelmi szintről, mely véleményeket a Bizottság a DHS-sel való tárgyalásai során útmutatóként használt. A Bizottság figyelembe vette e véleményeket e határozat kidolgozása során (4).
(25)
E határozatban előírt intézkedések összhangban vannak a 95/46/EK irányelv 31. cikke (1) bekezdése szerint felállított bizottság véleményével,
ELFOGADTA EZT A HATÁROZATOT:
1. cikk
A 95/46/EK irányelv 25. cikke (2) bekezdésére tekintettel, az United States Bureau of Customs and Border Protection (CBP) a mellékletben megállapított Kötelezettségvállalásokkal összhangban úgy tekintendő, mint amely a Közösség részéről történő, az Egyesült Államokból érkező, illetve az oda tartó légijáratokra vonatkozó PNR-adatok továbbításához szükséges megfelelő védelmi szintet biztosítja.
2. cikk
E határozat a CBP által biztosított védelem megfelelőségét érinti a 95/46/EK irányelv 25. cikke (1) bekezdése előírásainak való megfelelés céljából és nem érinti az említett irányelv egyéb rendelkezéseit végrehajtó, a személyes adatok tagállamokon belül történő feldolgozására vonatkozó egyéb feltételeket és korlátozásokat.
3. cikk
(1) Azon hatáskörök sérelme nélkül, amelyek alapján a tagállamok illetékes hatóságai felléphetnek a 95/46/EK irányelv 25. cikkétől eltérő rendelkezések szerint elfogadott nemzeti rendelkezéseknek betartása érdekében, a tagállamok illetékes hatóságai gyakorolhatják a CBP felé történő adatáramlás felfüggesztésre vonatkozó már fennálló hatáskörüket abból a célból, hogy megvédjék a magánszemélyeket személyes adataik feldolgozására való tekintettel a következő esetekben:
a)
amennyiben az Egyesült Államok egy illetékes hatósága megállapítja, hogy a CBP megsérti az alkalmazandó adatvédelmi követelményrendszert; vagy
b)
amennyiben alaposan valószínűsíthető, hogy a mellékletben megállapított védelmi követelményrendszert megsértették, elfogadható alapja van azon feltételezésnek, hogy a CBP nem teszi meg vagy nem fogja megtenni a szükséges és időszerű lépéseket annak érdekében, hogy elintézze a szóban forgó ügyet, az adattovábbítás folytatása az érintett személy számára súlyos károk közvetlen kockázatával jár és az illetékes tagállami szervek megtették az ésszerű erőfeszítéseket az adott viszonyok között annak érdekében, hogy értesítsék a CBP-t és, hogy lehetőséget nyújtsanak neki a válaszadásra.
(2) A felfüggesztésnek véget kell vetni, amint a biztonsági követelmények biztosítva vannak és az érintett tagállamok illetékes hivatalát erről értesítették.
4. cikk
(1) A tagállamok késedelem nélkül értesítik a Bizottságot, amennyiben a 3. cikk szerinti intézkedéseket hoznak.
(2) A tagállamok és a Bizottság kölcsönösen értesítik egymást minden, az adatvédelmi követelményrendszerben beálló változásról és azon esetekről, amelyekben a mellékletben megállapított, a CBP által felállított adatvédelmi követelményrendszernek való megfelelés biztosításáért felelős illetékes szervek fellépése nem biztosítja e megfelelést.
(3) Amennyiben a 3. cikk, illetve ugyanezen cikk (1) és (2) bekezdése értelmében begyűjtött információ bizonyítékul szolgál arra, hogy a természetes személyek védelmének megfelelő szintjéhez szükséges alapelveket már nem tartják be, vagy hogy a mellékletben megállapított, a CBP által felállított adatvédelmi követelményrendszernek való megfelelés biztosításáért felelős illetékes szervek nem végzik eredményesen feladatukat, a CBP-t értesíteni kell, és amennyiben szükséges, a 95/46/EK rendelet 31. cikke (2) bekezdésében említett eljárást kell alkalmazni e határozat hatályon kívül helyezésére vagy felfüggesztésére.
5. cikk
E határozat alkalmazását felügyelni kell és a 95/46/EK irányelv 31. cikke értelmében felállított bizottságnak jelenteni kell bármely vonatkozó ténymegállapítást, beleértve minden olyan ténymegállapítást, amely érintheti a jelen határozat 1. cikkében szereplő azon megítélést, hogy a CBP részére továbbított, a légiutasok PNR-je által tartalmazott személyes adatok védelme a 95/46/EK irányelv 25. cikkének értelmében megfelelő.
6. cikk
A tagállamok e határozatot kihirdetését követő négy hónapon belül megtesznek minden, annak alkalmazásához szükséges intézkedést.
7. cikk
E határozat a kihirdetését követő három év és hat hónap leteltével jár le, amennyiben a 95/46/EK irányelv 31. cikke (2) bekezdésében megállapított eljárással összhangban nem hosszabbítják meg azt.
8. cikk
E rendeletnek a tagállamok a címzettjei.
Kelt Brüsszelben, 2004. május 14-én.