DA Den Europæiske Unions Tidende L 91/49

KOMMISSIONENS BESLUTNING

af 6. september 2005

om tilstrækkelig beskyttelse af personoplysninger, der er indeholdt i registre over flypassagerer, og som videregives til Canadas grænsekontrolmyndighed (Canada Border Services Agency)

(meddelt under nummer K(2005) 3248)

(EØS-relevant tekst)

(2006/253/EF)

KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER HAR —

under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab,

under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 25, stk. 6, og

ud fra følgende betragtninger:

(1) Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at videregivelse af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og medlemsstaternes love til gennemførelse af direktivets øvrige bestemmelser overholdes inden videregivelsen.

(2) Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan personoplysninger videregives fra medlemsstaterne uden yderligere garantier.

(3) Vurderingen af databeskyttelsesniveauet skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger, og navnlig under hensyntagen til en række faktorer anført i direktivets artikel 25, stk. 2, der er relevante for den pågældende videregivelse.

(4) I forbindelse med flytransport er PNR (»Passenger Name Record«, herefter benævnt »PNR-oplysninger«) de registrerede oplysninger om hver passagers rejseplan og indeholder alle de nødvendige oplysninger til, at henholdsvis det for reservationen ansvarlige luftfartsselskab og andre medvirkende luftfartsselskaber kan foretage og kontrollere reservationer (2). I forbindelse med denne beslutning skal »passager« og »passagerer« forstås således, at besætningsmedlemmer er omfattet. Ved »det for reservationen ansvarlige luftfartsselskab« forstås det luftfartsselskab, hvor passageren foretog sin oprindelige reservation, eller hvor passageren foretog yderligere reservationer efter rejsens påbegyndelse. Ved »medvirkende luftfartsselskaber« forstås luftfartsselskaber, som det for reservationen ansvarlige luftfartsselskab har anmodet om at reservere plads til en passager på et eller flere af deres flyafgange.

(5) Den canadiske grænsekontrolmyndighed (Canada Border Services Agency, herefter benævnt »CBSA«) kræver, at ethvert luftfartsselskab, der transporterer passagerer med fly til Canada, skal give CBSA elektronisk adgang til PNR-oplysninger, for så vidt som PNR-oplysninger indsamles og lagres i luftfartselskabets elektroniske reservations- og afgangskontrolsystemer.

(6) Kravet om videregivelse af de personoplysninger, der fremgår af flypassagerers PNR-registrering, til CBSA, har hjemmel i section 107.1 i den canadiske toldlov (Customs Act) og i paragraph 148(d) i den canadiske lov om immigration og beskyttelse af flygtninge (Immigration and Refugee Protection Act) samt i en række gennemførelsesbestemmelser, der er vedtaget i medfør af disse lovbestemmelser (3).

(7) De pågældende canadiske regler har til formål at forbedre sikkerheden og skærpe betingelserne for indrejse, dvs. områder, hvor Canada har absolut suverænitet til at træffe afgørelser inden for eget jurisdiktionsområde. De fastsatte krav er desuden ikke i strid med Canadas internationale forpligtelser. Canada er et demokratisk land og et retssamfund med stærke traditioner med hensyn til borgerlige frihedsrettigheder. Der kan ikke stilles spørgsmålstegn ved legitimiteten af Canadas lovgivningsproces og den dømmende magts styrke og uafhængighed. En anden stærk garanti imod krænkelsen af de borgerlige frihedsrettigheder er landets pressefrihed.

(8) Fællesskabet støtter fuldt ud Canada i bekæmpelsen af terrorisme inden for de begrænsninger, der følger af fællesskabsretten. I henhold til fællesskabsretten skal der tilvejebringes den nødvendige balance mellem sikkerhedshensyn og hensyn til privatlivets fred. For eksempel fastsættes det i artikel 13 i direktiv 95/46/EF, at medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af visse krav i direktivet, hvis dette er nødvendigt af hensyn til statens sikkerhed, forsvaret, den offentlige sikkerhed og forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager.

(9) Den pågældende videregivelse af oplysninger vedrører bestemte registeransvarlige, nemlig luftfartsselskaber, der beflyver ruter mellem Fællesskabet og Canada, og kun én modtager i Canada, nemlig CBSA.

(10) Enhver aftale, der indgås for at opstille retlige rammer for videregivelsen af PNR-oplysninger til Canada, særlig på grundlag af denne beslutning, bør være tidsbegrænset. Parterne har aftalt en periode på tre og et halvt år. Forholdene kan ændre sig betydeligt i denne periode, og Fællesskabet og Canada er enige om, at det bliver nødvendigt at foretage en evaluering af ordningen.

(11) CBSA's behandling af de personoplysninger, der er indeholdt i flypassagerernes PNR-registrering, og som videregives til CBSA, er underlagt forpligtelseserklæringen fra den canadiske grænsekontrolmyndighed (Commitments by the Canadian Border Services Agency in relation to the application of its PNR program, herefter benævnt »forpligtelseserklæringen«) og i Canadas nationale lovgivning i det i forpligtelseserklæringen nævnte omfang.

(12) Hvad angår Canadas nationale lovgivning er loven om beskyttelse af privatlivets fred (Privacy Act), loven om aktindsigt (Access to Information Act) og section 107 i toldloven (Customs Act) relevante i denne sammenhæng, idet de fastsætter, på hvilke betingelser CBSA kan afvise en anmodning om videregivelse og således sikre en fortrolig behandling af PNR. Privacy Act regulerer videregivelsen af PNR til den pågældende registrerede, hvilket er tæt knyttet til princippet om den registreredes ret til aktindsigt. Privacy Act finder kun anvendelse på personer, der befinder sig i Canada. CBSA giver imidlertid også udenlandske statsborgere, der ikke befinder sig i Canada, aktindsigt i deres PNR-oplysninger.

(13) Hvad angår forpligtelseserklæringen, og som fastsat i punkt 43 heri, er de enkelte erklæringer enten blevet inkorporeret i den gældende canadiske lovgivning eller indarbejdet i de nationale retsforskrifter, der er udarbejdet specifikt til dette formål og således har retsvirkning. Forpligtelseserklæringen vil blive offentliggjort in extenso i Canada Gazette. Den udgør således en betydelig og solid politisk forpligtelse fra CBSA, og Canada og Fællesskabet vil foretage en fælles evaluering af, hvorvidt forpligtelseserklæringen overholdes. Enhver manglende overholdelse kan efter omstændighederne anfægtes ad retlig, administrativ eller politisk vej og kan, såfremt den manglende overholdelse er af vedvarende karakter, føre til, at denne beslutning suspenderes.

(14) Beskyttelsesnormerne for CBSA's behandling af passagerernes PNR-oplysninger på grundlag af Canadas lovgivning og forpligtelseserklæringen omfatter de grundlæggende principper, der er nødvendige for at sikre en tilstrækkelig databeskyttelse for fysiske personer.

(15) Hvad angår formålsbegrænsningsprincippet bliver flypassagerers personoplysninger, der er indeholdt i PNR-registreringen, og som videregives til CBSA, behandlet til et specifikt formål og kun efterfølgende anvendt og videregivet, hvis dette ikke er uforeneligt med formålet med den oprindelige videregivelse. Især anvendes PNR-oplysninger udelukkende til at forebygge og bekæmpe terrorisme og dermed forbundne forbrydelser, andre alvorlige forbrydelser, herunder organiseret kriminalitet, der har tværnational karakter.

(16) Hvad angår princippet om datakvalitet og dataproportionalitet, som der skal tages behørigt hensyn til i forbindelse med de vigtige samfundsinteresser, af hensyn til hvilke PNR-oplysningerne videregives, vil CBSA efter modtagelsen ikke efterfølgende ændre i PNR-oplysningerne. Der videregives højst 25 PNR-datakategorier, og CBSA hører og træffer aftale med Europa-Kommissionen forud for en eventuel revision af de 25 obligatoriske PNR-dataelementer, der er fastsat i tillæg A. Supplerende personoplysninger, der søges som et direkte resultat af konkrete PNR-oplysninger, kan kun indhentes fra andre kilder end offentlige registre, såfremt det er lovlige kilder. Generelt slettes PNR-oplysninger efter højst tre år og seks måneder.

(17) Hvad angår gennemsigtighedsprincippet oplyser CBSA de rejsende om formålet med videregivelsen og behandlingen, identiteten på den registeransvarlige samt andre forhold.

(18) Hvad angår sikkerhedsprincippet træffer CBSA de tekniske og organisatoriske sikkerhedsforanstaltninger, som må anses for passende i forhold til de risici, behandlingen indebærer.

(19) Fysiske personer, der befinder sig i Canada, har i henhold til Privacy Act ret til indsigt, berigtigelse og påtegning. CBSA vil også give disse rettigheder med hensyn til PNR-oplysninger, som det har i sin besiddelse, til udenlandske statsborgere, der ikke befinder sig i Canada. De undtagelser, der finder anvendelse, svarer stort set til de begrænsninger, som medlemsstaterne kan anvende i henhold til artikel 13 i direktiv 95/46/EF.

(20) Efterfølgende videregivelse til andre myndigheder, herunder udenlandske, kan under hensyn til sagens konkrete omstændigheder ske til formål, der svarer til eller er i overensstemmelse med de i begrænsningserklæringen nævnte formål, og omfatte så få oplysninger som muligt. Videregivelse kan også finde sted til beskyttelse af de registreredes eller andre personers vitale interesser, særlig med hensyn til alvorlige helbredsrisici, i forbindelse med straffesager eller på anden vis i henhold til loven. Myndigheder, der modtager data, må i henhold til bestemmelserne om videregivelse kun anvende disse oplysninger til disse formål, og de må ikke selv foretage efterfølgende videregivelse uden godkendelse fra CBSA. Ingen andre udenlandske, federale, delstatslige eller lokale myndigheder har direkte elektronisk adgang til PNR-oplysninger via CBSA's databaser. CBSA vil med hjemmel i undtagelserne fra de relevante bestemmelser i Access to Information Act og Privacy Act afslå offentlig adgang til PNR.

(21) CBSA modtager ikke følsomme oplysninger som omhandlet i artikel 8 i direktiv 95/46/EF.

(22) Hvad angår de håndhævelsesmekanismer, der skal sikre, at CBSA overholder disse principper, er der truffet foranstaltninger til uddannelse og information af CBSA's personale og indført sanktioner, der kan anvendes mod de enkelte ansatte. CBSA’s overholdelse af bestemmelserne om beskyttelse af privatlivets fred kontrolleres generelt af den canadiske databeskyttelsesmyndighed (Office of the Canadian Privacy Commissioner, herefter benævnt »Privacy Commissioner«) i overensstemmelse med det canadiske charter for rettigheder og frihedsrettigheder (Canadian Charter of Rights and Freedoms) og Privacy Act. Privacy Commissioner kan behandle klager, som bliver henvist fra medlemsstaternes databeskyttelsesmyndigheder på vegne af en person, der er bosiddende i Det Europæiske Fællesskab, hvis den pågældende mener, at CBSA ikke har behandlet klagen på tilfredsstillende vis. CBSA og en gruppe ledet af Kommissionen vil årligt foretage en evaluering af, hvorvidt forpligtelseserklæringen er overholdt.

(23) Af hensyn til åbenheden og for at sikre medlemsstaternes kompetente myndigheders beføjelser til at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger er det nødvendigt at specificere, under hvilke særlige omstændigheder det kan være berettiget at suspendere specifik videregivelse af personoplysninger, selv om det er blevet fastslået, at beskyttelsen er tilstrækkelig.

(24) Den ved artikel 29 i direktiv 95/46/EF nedsatte gruppe vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger har afgivet udtalelser om det beskyttelsesniveau, som de canadiske myndigheder sikrer passageroplysninger, og disse har været vejledende for Kommissionen i dens forhandlinger med CBSA. Kommissionen har taget hensyn til disse udtalelser i dens udarbejdelse af denne beslutning (4).

(25) De i denne beslutning fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det ved artikel 31, stk. 1, i direktiv 95/46/EF nedsatte udvalg —

VEDTAGET FØLGENDE BESLUTNING:

Artikel 1

Den canadiske grænsekontrolmyndighed (Canadian Customs Border Services Agency, herefter benævnt »CBSA«) anses for så vidt angår artikel 25, stk. 2, i direktiv 95/46/EF for at sikre et tilstrækkeligt beskyttelsesniveau for PNR-oplysninger vedrørende flyvninger til eller fra Canada, der videregives fra Fællesskabet, i overensstemmelse med forpligtelseserklæringen i bilaget.

Artikel 2

Denne beslutning vedrører spørgsmålet om, hvorvidt CBSA sikrer en tilstrækkelig beskyttelse til at opfylde kravene i artikel 25, stk. 1, i direktiv 95/46/EF, og beslutningen berører ikke andre betingelser eller begrænsninger i forbindelse med gennemførelsen af andre bestemmelser i direktivet, der vedrører behandlingen af personoplysninger i medlemsstaterne.

Artikel 3

1. De kompetente myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger for at sikre overensstemmelse med nationale bestemmelser, der er udstedt i henhold til andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser til at suspendere videregivelsen af oplysninger til CBSA for at beskytte fysiske personer med hensyn til behandlingen af personoplysninger om dem:

a) når en kompetent myndighed i Canada har fastslået, at CBSA overtræder gældende beskyttelsesnormer, eller

b) når der er stor sandsynlighed for, at beskyttelsesnormerne i bilaget overtrædes, der er tilstrækkelig grund til at antage, at CBSA ikke træffer eller ikke agter at træffe passende og rettidige foranstaltninger til at løse den pågældende sag, fortsat videregivelse af personoplysninger ville indebære overhængende risiko for at påføre de registrerede en alvorlig skade, og de kompetente myndigheder i medlemsstaten har udvist efter omstændighederne rimelige bestræbelser på at underrette CBSA og givet denne mulighed for at svare.

2. Suspenderingen ophæves, når beskyttelsesnormerne overholdes, og de kompetente myndigheder i de pågældende medlemsstater underrettes herom.

Artikel 4

1. Medlemsstaterne underretter straks Kommissionen, hvis der træffes foranstaltninger i henhold til artikel 3.

2. Medlemsstaterne og Kommissionen underretter hinanden om enhver ændring af beskyttelsesnormerne samt om tilfælde, hvor de organer, som skal sikre, at CBSA overholder beskyttelsesnormerne i bilaget, ikke sikrer denne overholdelse.

3. Hvis det fremgår af de oplysninger, der indsamles i henhold til artikel 3 og denne artikels stk. 1 og 2, at grundlæggende principper, der er nødvendige for at sikre et tilstrækkeligt beskyttelsesniveau for fysiske personer, ikke længere overholdes, eller at et organ, der skal sikre, at CBSA overholder beskyttelsesnormerne i bilaget, ikke opfylder sin rolle effektivt, skal CBSA underrettes, og hvis det er nødvendigt, skal proceduren i artikel 31, stk. 2, i direktiv 95/46/EF anvendes med henblik på at ophæve eller suspendere denne beslutning.

Artikel 5

Der skal føres tilsyn med anvendelsen af denne beslutning, og alle relevante forhold skal indberettes til det ved artikel 31 i direktiv 95/46/EF nedsatte udvalg, herunder alle forhold, der kan påvirke konstateringen i artikel 1 i denne beslutning af, at beskyttelsen af de personoplysninger, der er indeholdt i flypassagerers PNR, og som overføres til CBSA, er tilstrækkelig i henhold til artikel 25 i direktiv 95/46/EF.

Artikel 6

Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne beslutning senest fire måneder efter, at den er meddelt dem.

Artikel 7

Denne beslutning udløber 3 år og 6 måneder efter at den er meddelt, medmindre den forlænges efter proceduren i artikel 31, stk. 2, i direktiv 95/46/EF.

Artikel 8

Denne beslutning er rettet til medlemsstaterne.

Udfærdiget i Bruxelles, den 6. september 2005. På Kommissionens vegne Franco FRATTINI Næstformand

(1) EFT L 281 af 23.11.1995, s. 31. Ændret ved forordning (EF) nr. 1882/2003 (EUT L 284 af 31.10.2003, s. 1).

(2) I forbindelse med denne beslutning omfatter begrebet »PNR-oplysninger« forhåndsinformationer om passagerer (Advance Passenger Information — API) som fastsat i punkt 4 i forpligtelseserklæringen fra CBSA.

(3) Passenger Information (Customs) Regulations og Regulation 269 of the Immigration and Refugee Protection Regulations.

(4) Udtalelse nr. 3/2004 om databeskyttelsesniveauet i Canada i forbindelse med luftfartsselskabers overførsel af PNR- og API-oplysninger, vedtaget af gruppen den 11.2.2004, tilgængelig på: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2004/wp88_en.pdf

Udtalelse nr. 1/2005 om databeskyttelsesniveauet i Canada i forbindelse med luftfartsselskabers overførsel af PNR- og API-oplysninger, vedtaget af gruppen den 19.1.2005, tilgængelig på: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2004/wp103_en.pdf