DHS håndterer datadelingen med andre amerikanske myndigheder i overensstemmelse med aftalen. Der tages stilling til datadeling fra sag til sag, den registreres, og den foregår i henhold til skriftlige aftaler. Ved datadeling med tredjelande anlægges en restriktiv fortolkning, og datadelingen foregår også her i overensstemmelse med aftalen. USA anvender de samme databeskyttelseskrav på alle PNR-oplysninger, som indsamles og behandles, uanset om de kommer fra et land i eller uden for EU.

EU's hold fandt fortsat, at USA gennemførte aftalen i overensstemmelse med de vilkår, der var fastsat i aftalen. DHS overholder sine forpligtelser med hensyn til passagerernes ret til adgang til deres egne oplysninger og har en tilsynsmekanisme på plads, som beskytter mod ulovlig diskrimination. Kommissionen glæder sig også over den fortsatte indsats for at sikre fuld gensidighed og proaktiv deling af analytiske oplysninger udledt af PNR-oplysninger med EU's medlemsstater og efter omstændighederne med Europol og Eurojust. Reglerne om maskering og sletning af følsomme oplysninger overholdes, og DHS har erklæret, at man aldrig har skaffet sig adgang til følsomme oplysninger i operationelt øjemed.

Gennemførelsen af artikel 13 vedrørende klageordninger, som er til rådighed for enkeltpersoner, er ligeledes blevet forbedret. Revisionen i 2013 henstillede, at klageordningerne burde gøres mere gennemsigtige for passagererne i henhold til amerikansk lov. Det er positivt, at DHS Traveler Redress Inquiry Program (TRIP) fungerer som enkelt kontaktpunkt for offentligheden; dog bør USA fortsætte med at gennemgå alle nødvendige midler for at sikre, at alle passagerer bliver gjort bekendt med klageordningerne.

Revisionen i 2013 henstillede, at DHS i overensstemmelse med artikel 18 skulle forbedre proceduren med henblik på underretning af EU's medlemsstater i tilfælde af deling af EU's PNR-oplysninger mellem DHS og tredjelande. Som svar herpå har US Customs and Border Protection (CBP) haft en forbindelsesofficer udstationeret hos Europol siden juli 2014. Når forbindelsesofficeren identificerer en udpeget passager med forbindelse til en medlemsstat, deler vedkommende disse oplysninger med medlemsstatens repræsentanter i en rapport.

I revisionen fra 2013 henstilles også så hurtigt som muligt at gå helt over til "push"-metoden senest den 1. juli 2014, jf. aftalens artikel 15, stk. 4. På tidspunktet for revisionen i 2015 leverede fire luftfartsselskaber stadig ikke PNR-oplysninger med "push"-metoden; DHS støttede disse luftfartsselskaber med udvikling af kapaciteten til at sende PNR-oplysninger med "push"-teknologi.

Starttidspunktet for den seksmånedersperiode, som udløser anonymiseringen af PNR-oplysningerne i henhold til aftalens artikel 8, stk.1, beregnes nu fra det tidspunkt, hvor PNR indlæses i ATS (den såkaldte ATS-indlæsningsdato), som er tidspunktet for første lagring af dataene i ATS, i stedet for den tidligere praksis, som forsinker anvendelsen af seksmånedersperioden (indtil den seneste ajourføring af PNR i ATS).

Som opfølgning på en generel henstilling i revisionen i 2013 har DHS' kontor for beskyttelse af privatlivets fred gennemført en intern evaluering af overholdelsen af beskyttelsen af personoplysninger i forbindelse med DHS' gennemførelse af aftalen forud for revisionen i 2015. Denne revision havde til formål at afklare, om DHS' aktiviteter overholdt standarderne og tilsagnene i aftalen med EU, og rapporten blev offentliggjort den 26. juni 2015.

Arbejdsdokumentet fra Kommissionens personale, der ledsager denne rapport, består af fem kapitler. Kapitel 1 indeholder en beskrivelse af baggrunden for revisionen, dens formål og dens proceduremæssige aspekter. I kapitel 2 præsenteres en opdatering vedrørende gennemførelsen af henstillingerne i revisionen i 2013. I kapitel 3 fremlægges hovedkonklusionerne på den fælles revision i 2015, og der peges på, hvor DHS skal gøre en større indsats. I kapitel 4 fremlægges et resumé af henstillingerne i revisionen i 2015. Revisionens hovedkonklusioner fremlægges i kapitel 5. Endelig suppleres arbejdsdokumentet fra Kommissionens personale af et bilag, der indeholder spørgeskemaet og DHS' besvarelse heraf.

Den fælles revision bygger på den fremgangsmåde, som EU's hold og USA's hold fandt frem til i forbindelse med den første fælles revision (2005) af PNR-aftalen af 2004 og den fælles revision i 2013. Fremgangsmåden indebar en første fase, hvor Kommissionen sendte et spørgeskema til DHS forud for den fælles revision.

I henhold til aftalen skal den første fælles revision foretages et år efter dens ikrafttræden og derefter med regelmæssige mellemrum efter aftale. Denne fælles revision blev udført den 1. og 2. juli 2015 i Washington, og forberedelsesprocessen for den fælles revision og efterfølgende rapport er beskrevet i denne rapport. Revisionen koncentrerede sig især om at følge op på fremskridt i henstillingerne i den tidligere revision i 2013; aftalens gennemførelse, med særligt fokus på fremgangsmåden ved overførsel af passagerlisteoplysninger (i det følgende benævnt PNR-oplysninger) og videre overførsel af PNR i overensstemmelse med de relevante artikler i aftalen.

Men på trods af at aftalen er gennemført, er det nødvendigt at foretage en række forbedringer. Artikel 2 bestemmer, at aftalens anvendelsesområde omfatter fly med forbindelse til USA. Brugen af en tilsidesættelsesmulighed for at få adgang til PNR-oplysninger, som ikke har forbindelse til USA, er underlagt en række betingelser og sker under tilsyn. Antallet af tilsidesættelser er steget siden revisionen i 2013, og med henblik på at opnå en bedre forståelse af, hvorfor de indtræder, skal DHS detaljeret redegøre for, hvorfor muligheden for tilsidesættelse er blevet benyttet.

Med hensyn til artikel 5 er antallet af medarbejdere, som har adgangsrettigheder til PNR-oplysninger, steget siden den tidligere revision i 2013. Mens EU's hold er tilfreds med tilsynsmekanismen, som er på plads, opfordres DHS til fortsat at overvåge antallet af medarbejdere med adgangsrettigheder til PNR-oplysninger for at sikre, at kun dem med operationelle behov for at bruge og vise disse oplysninger kan gøre det.

I forbindelse med artikel 6 er ingen følsomme oplysninger blevet tilgået i perioden for denne revision. Ifølge DHS-reglerne skal DHS meddele Kommissionen om enhver sådan adgang inden for 48 timer, hvis DHS-medarbejdere skal have adgang til følsomme data. Det anbefales, at DHS regelmæssigt gennemgår listen over koder for følsomme oplysninger for at sikre, at alle følsomme oplysninger blokeres automatisk af systemet. Alle ændringer bør deles med Kommissionen.

DHS benytter automatiserede processer til at maskere alle dataelementer, der kan bidrage til at identificere passageren, som PNR-oplysningerne vedrører, efter de første seks måneder. Dette er i overensstemmelse med aftalens artikel 8. Revisionen fandt imidlertid, at antallet af PNR knyttet til retshåndhævende begivenheder, og derfor ikke anonymiserede, er højt. DHS tilrådes at undersøge dette nærmere for at forstå, hvorfor dette tal er højt og for også at sikre, at PNR-oplysninger, der ikke længere er nødvendige, maskeres, anonymiseres eller slettes så hurtigt som muligt. Det er positivt, at DHS har fulgt henstillingen i revisionen fra 2013 og sikrer, at DHS-brugeren nu skal begrunde, hvorfor PNR ikke er maskeret.

DHS overholder aftalens artikel 11 ved ikke at nægte passagerer adgang til deres oplysninger. Svartiden er steget siden sidste revision i 2013, og DHS bør undersøge, om disse svartider kan reduceres.

Ifølge artikel 15 fortsætter DHS med at støtte og opmuntre alle udestående luftfartsselskaber til at udvikle "push"-teknologien for PNR-oplysninger. Selvom det ligger uden for revisionens tidsramme, er det positivt, at DHS siden har udvidet anvendelsen af "push"-metoden til alle luftfartsselskaber, som lå inden for aftalens område på tidspunktet for den fælles revision.

I forbindelse med artikel 16 og 18 bør DHS give yderligere oplysninger om nøjagtig hvilke oplysninger som indsamles under disse bestemmelser og være i stand til at give yderligere information om oplysninger, som er blevet delt med andre amerikanske myndigheder, politi og retshåndhævende og retlige organer inden for EU.

Endelig, med henblik på fremtidige revisioner og evaluering bør DHS sikre, at alle forhold og tal er indsamlet på en ensartet måde, så det er muligt at gennemføre direkte sammenligninger.

Til udarbejdelsen af denne rapport har EU's hold anvendt alle oplysninger indeholdt i de skriftlige svar, som DHS har afgivet i EU's spørgeskema, oplysninger indhentet fra drøftelserne med DHS-medarbejdere, oplysninger indeholdt i den tidligere nævnte DHS Privacy Office-rapport samt oplysninger indeholdt i andre offentligt tilgængelige DHS-dokumenter.

Forberedelsesprocessen til den fælles revision og efterfølgende rapport

Kommissionen sendte den 8. maj 2015, forud for den fælles revision, et spørgeskema til DHS. Spørgeskemaet indehold specifikke spørgsmål i forbindelse med DHS' gennemførelse af aftalen. DHS afgav skriftlige svar på spørgeskemaet den 12. juni 2015.

Kommissionen kontaktede også alle medlemsstater for at finde ud af, om de havde haft nogen kontakt med USA i forbindelse med PNR.

EU's hold gennemførte det fælles revisionsbesøg den 1. og 2. juli 2015 og fik adgang til DHS's lokaler, besøgte DHS National Targeting Center (NTC) og havde mulighed for at se centeret i funktion.

DHS Privacy Office offentliggjorde sin rapport af 26. juni 2015 om anvendelse og overførsel af PNR mellem EU og USA. Dette gave desværre ikke EU's hold tilstrækkelig tid til at analysere rapporten i sin helhed før revisionsbesøget. EU's hold har efterfølgende analyseret rapporten fra det amerikanske Privacy Office og stillet opfølgende spørgsmål som hjælp til færdiggørelsen af rapporten om den fælles revision.

Efter det fælles revisionsbesøg meddelte DHS skriftligt yderligere oplysninger, som EU's hold havde anmodet om under besøget. Disse oplysninger blev brugt til at supplere udarbejdelsen af ​​denne rapport.

DHS bekræftede den 25. september 2015, at alle luftfartsselskaber, der leverer PNR-oplysninger i henhold til aftalen, har udviklet evnen til at anvende "push"-metoden til overførsel af PNR-oplysninger til USA.

Kommissionen forelagde de andre medlemmer af EU's hold et udkast til rapporten den 21. januar 2016.

Efter indarbejdning af bemærkningerne fra de andre deltagere på EU's hold i rapporten præsenterede Kommissionen en kopi af udkast til rapporten til USA under et møde mellem højtstående embedsmænd i Washington D.C. den 17. marts 2016. Dette gav DHS mulighed for at identificere og kommentere eventuelle unøjagtigheder eller andre oplysninger, som ikke kunne videregives til offentligheden.

DHS fremlagde efterfølgende en opdateret version af spørgeskemaet og uformelle kommentarer til udkastet til rapport, som EU's hold mødtes for at diskutere den 9. juni 2016.

Yderligere drøftelser til udkastet til rapport fortsatte mellem Kommissionen og DHS, herunder på et møde mellem højtstående embedsmænd i Washington D.C. den 14. juli 2016. Kommissionen meddelte i august 2016 DHS, at i det omfang de stadig var uenige eller ønskede at tilføje yderligere oplysninger til rapporten, kunne de afgive skriftlige bemærkninger, som vil blive vedlagt rapporten ifølge aftalens artikel 23, stk. 3.