DECISÃO DA COMISSÃO
de 14 de Maio de 2004
sobre o nível de protecção adequado dos dados pessoais contidos nos Passenger Name Record transferidos para o Bureau of Customs and Border Protection dos Estados Unidos
[notificada com o número C(2004) 1914]
(Texto relevante para efeitos do EEE)
(2004/535/CE)
A COMISSÃO DAS COMUNIDADES EUROPEIAS,
Tendo em conta o Tratado que institui a Comunidade Europeia,
Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1), e, nomeadamente, o n.o 6 do seu artigo 25.o,
Considerando o seguinte:
(1)
Nos termos da Directiva 95/46/CE, os Estados-Membros devem garantir que a transferência de dados pessoais para um país terceiro só pode realizar-se se o país terceiro em questão assegurar um nível de protecção adequado e a legislação dos Estados-Membros de execução da directiva tiver sido observada antes de efectuada a transferência.
(2)
A Comissão pode considerar que um país terceiro garante um nível de protecção adequado. Nesse caso, podem ser transferidos dados pessoais a partir dos Estados-Membros sem serem necessárias garantias adicionais.
(3)
Nos termos da Directiva 95/46/CE, a adequação do nível de protecção de dados será apreciada em função de todas as circunstâncias que envolvem a transferência ou o conjunto de transferências de dados, tendo em especial consideração determinados elementos pertinentes relativamente à transferência, enumerados no n.o 2 do artigo 25.o dessa directiva.
(4)
No quadro dos transportes aéreos, o «Passenger Name Record» (PNR) é um registo dos dados relativos à viagem de cada passageiro, que contém todas as informações necessárias ao tratamento e controlo das reservas pelas companhias aéreas da reserva e participantes. Para efeitos da presente decisão, os termos «passageiro» e «passageiros» incluem igualmente os membros da tripulação. O termo «companhia aérea da reserva» significa a companhia com a qual o passageiro fez a sua reserva original ou com a qual foram feitas reservas adicionais depois do começo da viagem. O termo «companhias aéreas participantes» significa qualquer companhia aérea à qual a companhia aérea da reserva solicitou um lugar em um ou mais voos para um passageiro.
(5)
O Bureau of Customs and Border Protection (CBP) do Department of Homeland Security (DHS, Ministério da Segurança Interna) dos Estados Unidos exige a todas as companhias aéreas que efectuem voos internacionais de passageiros com destino a ou provenientes dos Estados Unidos que lhe forneçam acesso electrónico aos PNR que estejam compilados e armazenados nos respectivos sistemas automatizados de reservas.
(6)
As regras de transferência dos dados pessoais contidos nos PNR de passageiros aéreos para o CBP baseiam-se num diploma aprovado pelos Estados Unidos em Novembro de 2001 (2) e nos regulamentos de execução adoptados pelo CBP ao abrigo desse diploma (3).
(7)
A legislação norte-americana em questão diz respeito à melhoria da segurança e das condições em que é possível entrar e sair do país, matérias nas quais os Estados Unidos têm poder soberano no âmbito da sua jurisdição. Por outro lado, as regras estabelecidas não são incompatíveis com quaisquer acordos internacionais subscritos pelos Estados Unidos. Os Estados Unidos são um país democrático que respeita os princípios do Estado de Direito e com uma tradição arreigada de liberdades civis. A legitimidade do seu processo legislativo e a força e a independência do seu sistema judicial não estão em causa. A liberdade de imprensa é uma garantia suplementar contra o abuso das liberdades civis.
(8)
A Comunidade Europeia está plenamente empenhada em apoiar a luta dos Estados Unidos contra o terrorismo, dentro dos limites impostos pelo direito comunitário. O direito comunitário permite estabelecer o equilíbrio necessário entre as exigências de segurança e o respeito da vida privada. Nomeadamente, o artigo 13.o da Directiva 95/46/CE prevê que os Estados Membros possam tomar medidas legislativas destinadas a restringir o alcance de certas normas da referida directiva, sempre que tal restrição constitua uma medida necessária à protecção da segurança do Estado, da defesa, da segurança pública e da prevenção, investigação, detecção e repressão de infracções penais.
(9)
As transferências de dados em questão envolvem responsáveis específicos pelo tratamento desses dados, nomeadamente companhias aéreas que efectuam voos entre a Comunidade Europeia e os Estados Unidos e apenas um destinatário nos EUA, designadamente o CBP.
(10)
Qualquer acordo no sentido de criar um quadro legal para as transferências de PNR para os EUA, em particular através desta decisão, deve ser limitado no tempo. Ficou acordado um período de três anos e seis meses. Durante esse período, o contexto pode alterar-se significativamente, pelo que a Comunidade e os Estados Unidos concordam que será necessária uma revisão do acordo.
(11)
O tratamento, pelo CBP, de dados pessoais contidos nos PNR de passageiros aéreos transferidos para esta entidade é regido pelos termos da declaração de compromisso do Bureau of Customs and Border Protection (CBP) do Department of Homeland Security de 11 de Maio de 2004 (doravante «a declaração de compromisso») e na legislação nacional norte-americana, tal como indicado na declaração.
(12)
Quanto à legislação nacional dos EUA, a lei relativa à liberdade de informação (Freedom of Information Act, ou FOIA) é determinante no presente contexto, na medida em que rege as condições em que o CBP pode recusar pedidos de divulgação e, consequentemente, manter os PNR confidenciais, e rege também a divulgação de PNR à pessoa a quem este diz respeito (titular dos dados), em estreita ligação com o direito de acesso aos dados desse titular. A lei FOIA aplica se sem distinção aos cidadãos dos Estados Unidos e a outros.
(13)
Quanto à declaração de compromisso, e tal como previsto especificamente no seu n.o 44, o disposto na declaração será - ou já foi - incorporado em leis, regulamentos, directivas ou outros instrumentos de política dos Estados Unidos, adquirindo assim, em graus variáveis, força de lei. A declaração de compromisso será publicada na íntegra no Federal Register sob a autoridade do DHS. Como tal, esta declaração representa um compromisso político sério e ponderado por parte do DHS e o seu cumprimento será objecto de uma revisão conjunta pelos EUA e pela Comunidade Europeia. O não cumprimento pode ser adequadamente combatido pela vias legais, administrativas e políticas e, se for continuado, poderá dar azo à suspensão dos efeitos da presente decisão.
(14)
As normas pelas quais o CBP se rege para tratar os dados dos PNR dos passageiros com base na legislação-norte americana e na declaração de compromisso abrangem os princípios básicos necessários a um nível adequado de protecção das pessoas singulares.
(15)
Quanto ao princípio da limitação do objectivo, o CBP tratará os dados pessoais contidos nos PNR de passageiros aéreos transmitidos ao CBP com um objectivo específico e, consequentemente, utilizá-los-á ou comunicá-los á-a terceiros apenas se tal não foi incompatível com o objectivo da transmissão. Em especial, os dados dos PNR serão utilizados estritamente para impedir e combater o terrorismo e crimes conexos; outros crimes graves, incluindo o crime organizado, que são, por natureza, transnacionais; e a fuga a mandados judiciais ou à detenção pelos crimes atrás descritos.
(16)
Quanto à qualidade dos dados e ao princípio da proporcionalidade, que tem de ser considerado em relação com os importantes motivos de interesse público pelos quais os dados dos PNR são transmitidos, os dados fornecidos ao CBP não serão posteriormente alterados por este organismo. Será transferido um máximo de 34 categorias de dados do PNR, e as autoridades dos Estados Unidos consultarão a Comissão antes de introduzir novas regras. Quaisquer informações pessoais adicionais pedidas como resultado directo dos dados dos PNR serão obtidas de fontes não estatais e apenas pelas vias legais. Regra geral, o PNR será apagado após um período máximo de três anos e seis meses, com excepção dos dados consultados para efeitos de investigações específicas ou manualmente.
(17)
Quanto ao princípio da transparência, o CBP fornecerá informação aos passageiros quanto ao objectivo da transferência e do tratamento, bem como à identidade do controlador dos dados no país terceiro, além de outras informações.
(18)
Quanto ao princípio da segurança, o CBP tomará as medidas de segurança de carácter técnico e organizacional adequada aos riscos que o tratamento dos dados representa.
(19)
Os direitos de acesso e rectificação são reconhecidos, na medida em que o titular dos dados pode requerer uma cópia do PNR e a rectificação dos dados inexactos. As excepções previstas são largamente comparáveis com as restrições que podem ser impostas pelos Estados-Membros ao abrigo do artigo 13.o da directiva 95/46/CE.
(20)
As transferências subsequentes para outras autoridades estatais - incluindo estrangeiras - com funções de combate ao terrorismo ou de aplicação da lei serão efectuadas, caso a caso, para fins que correspondam aos definidos na declaração relativa à limitação do objectivo. As transferências podem ainda efectuar-se para a protecção do interesse vital do titular dos dados ou de outras pessoas, designadamente no que diz respeito aos riscos importantes para a saúde, ou no âmbito de qualquer procedimento criminal ou de qualquer outra forma exigida pela lei. Os organismos que recebam os dados estão obrigados, em virtude das condições expressas de divulgação, a utilizar os dados unicamente para os fins previstos, não podendo transferi-los subsequentemente sem o acordo do CBP. Nenhum outro organismo estrangeiro, federal, estatal ou local dispõe de acesso electrónico directo aos dados dos PNR através das bases de dados do CBP. Este recusará a divulgação ao público de dados dos PNR, com base nas excepções previstas nas disposições pertinentes da lei FOIA.
(21)
O CBP não utiliza dados sensíveis referidos no artigo 8.o da Directiva 95/46/CE e, até que seja concretizado um sistema de filtros destinado a excluir esses dados dos PNR transferidos para os EUA, compromete-se a introduzir os meios necessários para os apagar e, entretanto, a não os utilizar.
(22)
Quanto aos mecanismos de aplicação da lei destinados a garantir o cumprimento, pelo CBP, destes princípios, estão previstas acções de formação e informação do pessoal deste organismo, bem como sanções a aplicar aos seus membros individuais. O respeito pela privacidade em geral por parte do CBP será fiscalizado pelo Chief Privacy Officer do DHS, que é um funcionário deste ministério mas tem bastante autonomia e é obrigado a apresentar relatórios anuais ao Congresso. As pessoas cujos dados do PNR tenham sido transferidos podem remeter as suas queixas para o CBP, ou, se estas não tiverem sido resolvidas, para o Chief Privacy Officer do DHS, directamente ou através das autoridades responsáveis pela protecção dos dados (APD) dos Estados-Membros. O Privacy Office do DHS examinará com urgência as queixas que lhe tenham sido apresentadas pelas APD dos Estados-Membros em nome de residentes da Comunidade, nos casos em que se o residente considere que a sua queixa não foi satisfatoriamente resolvida pelo CBP ou pelo Privacy Office do DHS. O cumprimento da declaração de compromisso será objecto de uma revisão conjunta anual, efectuada pelo CBP, conjuntamente com o DHS, e por uma equipa liderada pela Comissão.
(23)
No interesse da transparência e a fim de salvaguardar a capacidade de as autoridades competentes dos Estados-Membros assegurarem a protecção das pessoas no que diz respeito ao tratamento dos seus dados pessoais, é necessário especificar as circunstâncias excepcionais em que a suspensão de transferências concretas de dados se pode justificar, mesmo que se verifique um nível de protecção adequado.
(24)
O grupo de trabalho «Protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais», criado pelo artigo 29.o da Directiva 95/46/CE, emitiu pareceres sobre o nível de protecção previsto pelas autoridades dos Estados Unidos para os dados dos passageiros, os quais guiaram a Comissão ao longo da negociação com o DHS. A Comissão tomou em consideração estes pareceres na preparação da presente decisão (4).
(25)
As medidas previstas na presente decisão são conformes com o parecer do comité criado pelo n.o 1 do artigo 31.o da Directiva 95/46/CE,
ADOPTOU A PRESENTE DECISÃO:
Artigo 1.o
Para efeitos do n.o 2 do artigo 25.o da Directiva 95/46/CE, considera se que o Bureau of Customs and Border Protection (CBP) dos Estados Unidos assegura um nível adequado de protecção dos dados dos PNR transferidos a partir da Comunidade no que diz respeito a voos com destino a ou provenientes dos Estados Unidos, em conformidade com a declaração de compromisso que figura no anexo I.
Artigo 2.o
A presente decisão diz respeito ao nível adequado de protecção assegurado pelo CBP, a fim de dar cumprimento ao disposto no n.o 1 do artigo 25.o da Directiva 95/46/CE, e não afecta outras condições ou restrições à aplicação de outras disposições da referida directiva relativas ao tratamento de dados pessoais nos Estados Membros.
Artigo 3.o
1. Sem prejuízo dos poderes das autoridades competentes dos Estados-Membros no que se refere à adopção de medidas para garantir o respeito das disposições nacionais adoptadas por força de outras disposições para além das previstas no artigo 25.o da Directiva 95/46/CE, as referidas autoridades podem exercer os poderes de que dispõem para suspender a transferência de dados para o CBP, a fim de proteger as pessoas no que respeita ao tratamento dos seus dados pessoais, sempre que:
a)
A autoridade norte-americana competente verificar que o CBP desrespeita as normas de protecção aplicáveis; ou
b)
Seja altamente provável que as normas de protecção constantes do anexo I não estão a ser cumpridas, existam motivos suficientes para crer que o CBP não toma ou não tomará as decisões adequadas na altura devida para resolver o caso em questão, a continuação da transferência dos dados implique o risco iminente de causar graves prejuízos às pessoas em causa e as autoridades competentes dos Estados-Membros tenham envidado esforços razoáveis, dadas as circunstâncias, para facultar ao CBP informação e oportunidade para responder.
2. A suspensão cessará assim que o respeito das normas de protecção estiver assegurado e a autoridade competente do Estado-Membro em questão seja disso informada.
Artigo 4.o
1. Os Estados-Membros devem informar imediatamente a Comissão da adopção de medidas ao abrigo do artigo 3.o
2. Os Estados-Membros e a Comissão devem ainda manter-se mutuamente informados de qualquer alteração nas normas de protecção e dos casos em que os organismos responsáveis por assegurar o cumprimento das normas de protecção constantes do anexo I pelo CBP não assegurem convenientemente esse mesmo cumprimento.
3. Se a informação recolhida nos termos do artigo 3.o e dos n.os 1 e 2 do presente artigo demonstrar que os princípios básicos necessários a um nível adequado de protecção das pessoas singulares não estão a ser respeitados, ou que os organismos responsáveis por assegurar o cumprimento das normas de protecção pelo CBP não desempenham eficazmente as suas funções, o CBP deverá ser informado e, se necessário, o procedimento referido no n.o 2 do artigo 31.o da Directiva 95/46/CE será aplicado, com vista a revogar ou suspender a presente decisão.
Artigo 5.o
A aplicação da presente decisão será objecto de vigilância e quaisquer conclusões pertinentes serão comunicadas ao comité criado pelo artigo 31.o da Directiva 95/46/CE, nomeadamente todas as provas que possam afectar a afirmação do artigo 1.o da presente decisão, segundo a qual o nível de protecção dos dados pessoais contidos nos PNR dos passageiros transferidos para o CBP é adequado, nos termos do artigo 25.o da Directiva 95/46/CE.
Artigo 6.o
Os Estados-Membros tomarão todas as medidas necessárias para darem cumprimento à presente decisão no prazo de quatro meses a contar da data da sua notificação.
Artigo 7.o
A presente decisão expira três anos e seis meses após a data da sua notificação, a menos que seja prorrogada nos termos do procedimento estabelecido no n.o 2 do artigo 31.o da Directiva 95/46/CE.
Artigo 8.o
Os Estados-Membros são os destinatários da presente decisão.
Feito em Bruxelas, em 14 de Maio de 2004.