ES Diario Oficial de la Unión Europea L 91/49

DECISIÓN DE LA COMISIÓN

de 6 de septiembre de 2005

relativa al carácter adecuado de la protección de los datos personales incluidos en los registros de nombres de los pasajeros (Passenger Name Records, PNR) que se transfieren a la Canada Border Services Agency (Agencia de Servicios de Fronteras de Canadá)

[notificada con el número C(2005) 3248]

(Texto pertinente a efectos del EEE)

(2006/253/CE)

LA COMISIÓN DE LAS COMUNIDADES EUROPEAS,

Visto el Tratado constitutivo de la Comunidad Europea,

Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1), y, en particular, su artículo 25, apartado 6,

Considerando lo siguiente:

(1) De conformidad con la Directiva 95/46/CE, los Estados miembros sólo permitirán la transferencia de datos personales a un país tercero si éste proporciona un nivel de protección adecuado y se cumplen en él, con anterioridad a la transferencia, las disposiciones legales que los Estados miembros aprueben en aplicación de otros preceptos de dicha Directiva.

(2) La Comisión puede dictaminar que un país tercero garantiza un nivel de protección adecuado. En tal caso, pueden transferirse datos personales desde los Estados miembros sin que sea necesaria ninguna garantía adicional.

(3) De conformidad con la Directiva 95/46/CE, el nivel de protección de los datos debe evaluarse atendiendo a todas las circunstancias que concurran en la transferencia o conjunto de transferencias de datos y estudiando con especial atención una serie de elementos relevantes para la transferencia, enumerados en su artículo 25, apartado 2.

(4) En el ámbito del transporte aéreo, el registro de nombres de los pasajeros (Passenger Name Records, PNR) es un registro de los requisitos de viaje de cada pasajero que contiene toda la información necesaria para que sea posible la tramitación y el control de reservas por parte de las compañías aéreas que las realizan y participan en el registro (2). A efectos de la presente Decisión, los términos «pasajero» y «pasajeros» incluirán a los miembros de las tripulaciones. «Línea aérea que realiza la reserva» designa a la línea aérea con la que el pasajero realizó sus reservas iniciales o con la que se realizaron reservas adicionales tras el inicio del viaje. «Líneas aérea participante» designa a cualquier línea aérea a la que la línea aérea que realiza la reserva haya solicitado que se reserve una plaza, en uno o varios de sus vuelos, para un pasajero.

(5) La Agencia de Servicios de Fronteras de Canadá (la CBSA) exige a cada compañía que realice vuelos con pasajeros con destino a Canadá que le proporcione acceso electrónico al PNR en la medida en que se recopile y se almacene en los sistemas automatizados de reserva y de control de salidas de la compañía.

(6) Los requisitos relativos a los datos personales incluidos en los PNR de pasajeros de vuelos que se han de transferir a la CBSA se basan en el artículo 107.1 de la Ley de Aduanas (Customs Act) y en el artículo 148.d) de la Ley de protección de la inmigación y los refugiados (Immigration and Refugee Protection Act) y en los reglamentos de aplicación adoptados con arreglo a dicha normativa (3).

(7) Dicha normativa canadiense se refiere a la mejora de la seguridad y las condiciones en las que las personas pueden entrar en el país, asuntos en los que Canadá tiene la facultad soberana de decidir dentro de su jurisdicción. Además, los requisitos establecidos son coherentes con todos los compromisos internacionales que ha asumido dicho país. Canadá es un país democrático, regido por el imperio de la ley y con una sólida tradición de libertades civiles. No se pone en tela de juicio la legitimidad de su proceso legislativo, ni la solidez e independencia de su poder judicial. La libertad de prensa constituye otra potente garantía frente a cualquier violación de las libertades civiles.

(8) La Comunidad está plenamente comprometida con el respaldo a Canadá en la lucha contra el terrorismo dentro de los límites impuestos por la legislación comunitaria, la cual establece los equilibrios necesarios entre la seguridad y la intimidad. Por ejemplo, en el artículo 13 de la Directiva 95/46/CE se establece que los Estados miembros pueden adoptar medidas legales para limitar el alcance de determinados requisitos de la Directiva, en caso necesario, por motivos de seguridad del Estado, defensa, seguridad pública y prevención, investigación, detección y represión de infracciones penales.

(9) Las transferencias de datos en cuestión atañen a responsables específicos del tratamiento de datos, a saber, las compañías aéreas que realizan vuelos desde la Comunidad a Canadá, y a un único destinatario en dicho país, a saber, la CBSA.

(10) Todo acuerdo para establecer un marco jurídico de transferencias del PNR a Canadá, en particular a través de esta Decisión, debe ser limitado en el tiempo. Se ha acordado un período de tres años y medio. A lo largo de este período, el entorno puede modificarse de manera significativa, por lo que las dos partes están de acuerdo en que será necesario revisar los acuerdos.

(11) El tratamiento por parte de la CBSA de los datos personales que contienen los PNR de pasajeros de vuelos que se transfieren a dicha agencia está regido por las condiciones establecidas en los Compromisos de la Agencia de Servicios de Fronteras de Canadá en relación con la aplicación de su programa sobre el PNR (denominados en lo sucesivo los «Compromisos»), así como por la legislación nacional canadiense en las condiciones que se establecen en dichos Compromisos.

(12) Por lo que respecta a la legislación nacional de Canadá, la Ley sobre la intimidad (Privacy Act), la Ley sobre el acceso a la información (Access Information Act) y el artículo 107 de la Ley sobre Aduanas (Customs Act) son pertinentes en el presente contexto en la medida en que regulan las condiciones en las que la CBSA puede denegar solicitudes de divulgación y mantener así la confidencialidad del PNR. La Ley sobre la intimidad regula la divulgación del PNR a la persona a la que se refiera tal registro; dicha divulgación está íntimamente relacionada con los derechos de acceso del interesado. La Ley sobre intimidad sólo se aplica a quienes estén presentes en Canadá. No obstante, la CBSA otorga también acceso a la información del PNR sobre un nacional extranjero si éste no está presente en Canadá.

(13) En cuanto a los Compromisos, como se prevé en su punto 43, las declaraciones de los Compromisos se han incorporado a la legislación canadiense existente o se han oficializado en reglamentos nacionales formulados específicamente a tal fin, por lo que surtirán efectos jurídicos. Los Compromisos se publicarán íntegros en el Diario Oficial de Canadá (Canada Gazette). Representan una obligación seria y muy meditada de la CBSA y su cumplimiento será objeto de control conjunto por parte de Canadá y la Comunidad. Su incumplimiento podrá ser objeto de recurso, según proceda, por las vías jurídica, administrativa y política y, si se mantiene, dará lugar a la suspensión de los efectos de la presente Decisión.

(14) Las normas que aplica la CBSA al tratamiento de los datos del PNR con arreglo a la legislación de su país y a los Compromisos incluyen los principios básicos necesarios para un nivel adecuado de protección de las personas físicas.

(15) Por lo que se refiere al principio de limitación a una finalidad específica, los datos personales de los pasajeros de vuelos incluidos en el PNR que se transfieran a la CBSA serán objeto de tratamiento para una finalidad específica y, posteriormente, se utilizarán o volverán a transmitirse únicamente en la medida en que ello sea compatible con la finalidad de la transferencia. En particular, los datos del PNR se utilizarán estrictamente para evitar y combatir el terrorismo y delitos conexos, y otros delitos graves, incluida la delincuencia organizada, que sean de naturaleza transnacional.

(16) En cuanto a la calidad de los datos y el principio de proporcionalidad, que han de considerarse en relación con los motivos importantes de interés público por los que se transfieren datos del PNR, los datos que se faciliten a la CBSA no podrán ser alterados por dicho Servicio. Se transferirá un máximo de veinticinco categorías de datos del PNR y la CBSA consultará a la Comisión Europea en relación con la revisión de los veinticinco datos del PNR necesarios que figuran en el apéndice A y llegará a un acuerdo con la misma antes de realizar la revisión. La información adicional de carácter personal que se desee obtener como consecuencia directa de datos del PNR se obtendrá de fuentes ajenas a la Administración únicamente por vías legales. Como norma general, el PNR se suprimirá tras un máximo de tres años y seis meses.

(17) Por lo que respecta al principio de transparencia, la CBSA facilitará información a los viajeros respecto a la finalidad de la transferencia y el tratamiento, la identidad del responsable del tratamiento, así como información de otro tipo.

(18) En cuanto al principio de seguridad, la CBSA adopta las medidas de seguridad técnica y organizativa adecuadas a los riesgos que representa el tratamiento.

(19) Los derechos de acceso y corrección y el derecho a que se mencionen las correcciones solicitadas y no efectuadas están reconocidos en la Ley sobre intimidad a quienes se encuentren en Canadá. La CBSA extenderá dichos derechos con respecto a la información del PNR que obre en su poder a los nacionales extranjeros que no se encuentren en Canadá. Las excepciones previstas son comparables, a grandes rasgos, con las restricciones que pueden imponer los Estados miembros con arreglo al artículo 13 de la Directiva 95/46/CE.

(20) Las transferencias ulteriores se realizarán a otras autoridades gubernamentales, incluidas las de otros países si procede, en función de cada caso, para fines idénticos o coherentes con los establecidos en la declaración de limitación a una finalidad específica con respecto a una cantidad mínima de datos. También podrán realizarse transferencias para la protección de intereses vitales del interesado o de otras personas, en particular en relación con riesgos importantes para la salud, o en el caso de un procedimiento judicial o en otros casos en que la legislación lo exija. Los organismos receptores están obligados, por las condiciones explícitas relativas a la divulgación, a utilizar los datos únicamente para dichos fines y no podrán transferir posteriormente los datos sin la autorización de la CBSA. Ningún otro organismo extranjero, federal, provincial o local dispone de acceso electrónico directo a la información del PNR mediante las bases de datos de la CBSA. La CBSA denegará la divulgación pública del PNR con arreglo a las excepciones establecidas con respecto a las disposiciones pertinentes de la Ley sobre acceso a la información y de la Ley sobre intimidad.

(21) La CBSA no recibe datos sensibles en el sentido del artículo 8 de la Directiva 95/46/CE.

(22) Por lo que se refiere a los mecanismos para garantizar el cumplimiento de estos principios por la CBSA, se prevé que el personal de dicha agencia recibirá formación e información, así como el establecimiento de posibles sanciones a los integrantes del mismo. El respecto de la intimidad en general por parte de la CBSA será supervisado por la Oficina del Comisario Canadiense para la Intimidad (Office of the Canadian Privacy Commissioner) conforme a las condiciones establecidas en la Carta de Derechos y Libertades y en la Ley sobre intimidad de Canadá. El Comisario para la Intimidad podrá atender las reclamaciones que le remitan las autoridades de protección de datos de los Estados miembros en nombre de residentes de la Comunidad, en caso de que el residente considere que su reclamación no ha sido resuelta de manera satisfactoria por la CBSA. La CBSA y un equipo dirigido por la Comisión realizarán un examen anual conjunto del cumplimiento de los Compromisos.

(23) Aunque se compruebe el nivel adecuado de la protección, por motivos de transparencia y para proteger la capacidad de las autoridades correspondientes de los Estados miembros de garantizar la protección de las personas en lo que respecta al tratamiento de sus datos personales, resulta necesario especificar las circunstancias excepcionales que pudieran justificar la suspensión de flujos específicos de información.

(24) El Grupo de protección de las personas en lo que respecta al tratamiento de datos personales, creado en virtud del artículo 29 de la Directiva 95/46/CE, ha emitido dictámenes sobre el nivel de protección de los datos de pasajeros que ofrecen las autoridades canadienses, los cuales han orientado a la Comisión en las negociaciones con la CBSA. La Comisión ha tomado en cuenta dichos dictámenes para la elaboración de la presente Decisión (4).

(25) Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité creado en virtud del artículo 31, apartado 1, de la Directiva 95/46/CE.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1

A efectos del artículo 25, apartado 2, de la Directiva 95/46/CE, se considera que la Canadian Customs Border Services Agency (Agencia de Servicios de Fronteras de Canadá, en adelante la CBSA) ofrece un nivel adecuado de protección de los datos del PNR que se transfieren desde la Comunidad relativos a vuelos con destino a Canadá, con arreglo a los Compromisos que figuran en el anexo.

Artículo 2

La presente Decisión se refiere al carácter adecuado de la protección ofrecida por la CBSA con vistas a satisfacer los requisitos del artículo 25, apartado 1, de la Directiva 95/46/CE y no afectará a otras condiciones o restricciones que se impongan en aplicación de otras normas de la Directiva relativas al tratamiento de los datos personales en los Estados miembros.

Artículo 3

1. Sin perjuicio de sus facultades para emprender acciones que garanticen el cumplimiento de las normas nacionales adoptadas de conformidad con preceptos diferentes a los contemplados en el artículo 25 de la Directiva 95/46/CE, las autoridades competentes de los Estados miembros podrán ejercer su facultad de suspender los flujos de datos hacia la CBSA, a fin de proteger a los particulares contra el tratamiento de sus datos personales, en los casos en que:

a) la autoridad competente de Canadá compruebe que la CBSA ha vulnerado las normas de protección aplicables; o

b) existan grandes probabilidades de que se estén vulnerando las normas de protección expuestas en el anexo, existan motivos razonables para creer que la CBSA no ha adoptado o no adoptará las medidas adecuadas en el momento oportuno para resolver el caso en cuestión, se considere que la continuación de la transferencia podría crear un riesgo inminente de grave perjuicio a los afectados, y las autoridades competentes del Estado miembro hayan hecho esfuerzos razonables en estas circunstancias para notificárselo a la CBSA y proporcionarle la oportunidad de alegar.

2. La suspensión cesará en cuanto esté garantizado el cumplimiento de las normas de protección y ello se haya notificado a las autoridades competentes de los Estados miembros afectados.

Artículo 4

1. Los Estados miembros informarán inmediatamente a la Comisión de la adopción de medidas basadas en el artículo 3.

2. Los Estados miembros y la Comisión se informarán recíprocamente de cualquier cambio en las normas de protección y de aquellos casos en que la actuación de los organismos responsables del cumplimiento por parte de la CBSA de las normas de protección que figuran en el anexo no garantice dicho cumplimiento.

3. Si la información recogida con arreglo al artículo 3 y a los apartados 1 y 2 del presente artículo demuestra que los principios básicos necesarios para un nivel adecuado de protección de las personas físicas no están siendo respetados, o que los organismos responsables del cumplimiento por parte de la CBSA de las normas de protección que figuran en el anexo no están ejerciendo su función, se informará a la CBSA y, si procede, será de aplicación el procedimiento previsto en el artículo 31, apartado 2, de la Directiva 95/46/CE, a fin de anular o suspender la presente Decisión.

Artículo 5

El funcionamiento de la presente Decisión será supervisado y el Comité creado por el artículo 31 de la Directiva 95/46/CE será informado de cualquier hecho pertinente y, en particular, de cualquier prueba que pueda afectar a la resolución del artículo 1 de la presente Decisión, relativa a que la protección de los datos personales incluidos en PNR de pasajeros de vuelos que se transfieren a la CBSA es adecuada con arreglo a lo dispuesto en el artículo 25 de la Directiva 95/46/CE.

Artículo 6

Los Estados miembros adoptarán todas las medidas necesarias para cumplir la presente Decisión, a más tardar en un plazo de cuatro meses a partir de la fecha de su notificación.

Artículo 7

La presente Decisión expirará tres años y seis meses después de la fecha de su notificación, salvo que sea prorrogada con arreglo al procedimiento expuesto en el artículo 31, apartado 2, de la Directiva 95/46/CE.

Artículo 8

Los destinatarios de la presente Decisión serán los Estados miembros.

Hecho en Bruselas, el 6 de septiembre de 2005. Por la Comisión Franco FRATTINI Vicepresidente

(1) DO L 281 de 23.11.1995, p. 31. Directiva modificada por el Reglamento (CE) no 1882/2003 (DO L 284 de 31.10.2003, p. 1).

(2) A efectos de la presente Decisión, el término «PNR» incluirá datos de información previa sobre pasajeros (Advance Passenger Information, API), como se establece en el punto 4 de los Compromisos de la CBSA.

(3) Reglamentos (sobre aduanas) relativos a la información de los pasajeros [Passenger Information (Customs) Regulations] y Reglamento 269 de los Reglamentos de protección de la inmigración y los refugiados (Regulation 269 of the Immigration and Refugee Protection Regulations).

(4) Dictamen 3/2004 on the level of protection ensured in Canada for the transmission of Passenger Name Record and Advanced Passenger Information from airlines, (sobre el nivel de protección garantizado por Canadá para la transmisión del PNR e información previa sobre pasajeros procedente de las compañías aéreas), aprobado por el Grupo el 11 de febrero de 2004, disponible en http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2004/wp88_en.pdf

Dictamen 1/2005 on the level of protection ensured in Canada for the transmission of Passenger Name Record and Advanced Passenger Information from airlines, (sobre el nivel de protección garantizado por Canadá para la transmisión del PNR e información previa sobre pasajeros procedente de las compañías aéreas), aprobado por el Grupo el 19 de enero de 2005, disponible en http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2004/wp103_en.pdf