ICAO:n neuvosto on ICAO:n pysyvä elin. Sen jäsenistö muodostuu 36 sopimusvaltiosta, jotka ICAO:n yleiskokous valitsee kolmeksi vuodeksi. ICAO:n neuvostossa on kaudella 2019–2022 seitsemän EU:n jäsenvaltiota.

ICAO on Yhdistyneiden kansakuntien erityisjärjestö. Järjestön tavoitteena on kehittää kansainvälisen ilmailun periaatteita ja tekniikoita sekä edistää kansainvälisen lentoliikenteen suunnittelua ja kehittämistä.

ICAO:n neuvosto hyväksyi 23. kesäkuuta 2020 pidetyssä 220. istunnossaan Chicagon yleissopimuksen liitteen 9 muutoksen 28. Kuten edellä on todettu, liitteessä 9 vahvistetaan maahantulon helpottamista koskevat kansainväliset standardit, ja sen 9 luvun D jakso koskee erityisesti PNR-tietoja.

ICAO ilmoitti 17. heinäkuuta 2020 jäsenvaltioille muutoksen 28 hyväksymisestä toisella valtioille osoitetulla kirjeellä (EC 6/3–20/71). Muutos tuli voimaan 30. lokakuuta 2020. Tämän edellytyksenä oli Chicagon yleissopimuksen 90 artiklan mukaisesti, etteivät useimmat sopimusvaltiot ilmoita kyseiseen päivään mennessä, etteivät ne hyväksy sitä. Muutosta sovelletaan 28. helmikuuta 2021 alkaen. ICAO:n jäsenvaltiot voivat kuitenkin ilmoittaa 30. tammikuuta 2020 mennessä eroavuuksista kansallisten määräysten ja menetelmien sekä muutoksessa 28 vahvistettujen standardien välillä, jos ne katsovat, että niiden kansallisten määräysten tai menetelmien ja jonkin standardin välillä on eroja. Ilmoitus on tehtävä Chicagon yleissopimuksen 38 artiklan ja eroavuuksien ilmoittamiseen käytettävän mekanismin mukaisesti.

2.4.Liitteen 9 muutoksen 28 PNR-tietoja koskevat näkökohdat

Muutoksen 28 tultua voimaan nykyiset standardit 9.22–9.22.1 ja suositeltu menettelytapa 9.23 korvataan uusilla standardeilla ja suositelluilla menettelytavoilla 9.23–9.38. Nämä standardit ja suositukset ovat huomattavasti nykyistä kehystä yksityiskohtaisempia, ja ne kattavat muun muassa käyttötarkoituksen rajoittamiseen, valvontaan, rekisteröidyn oikeuksiin, siirtomenetelmään, tietojen säilyttämiseen, arkaluonteisten tietojen käsittelyyn ja PNR-tietojen siirtoa koskevaan Chicagon yleissopimuksen sopimusvaltioiden väliseen suhteeseen liittyvät näkökohdat. Osa ICAO:n asiakirjassa 9944 annetuista ei-sitovista ohjeista, joissa vahvistetaan PNR-tietoja koskevat suuntaviivat, on päivitetty vastaamaan uusia standardeja.

Standardi 9.23 edellyttää, että sopimusvaltiot kehittävät valmiuksiaan kerätä, käyttää, käsitellä ja suojata PNR-tietoja ja sisällyttävät näiden valmiuksien käyttöä koskevat säännöt asianmukaiseen sisäiseen oikeudelliseen ja hallinnolliseen kehykseensä standardien ja suositeltujen menettelytapojen mukaisesti. PNR-tietojen käsittelyvalmiuksien kehittämisen pakollisuus on Yhdistyneiden kansakuntien turvallisuusneuvoston päätöslauselman 2396 (2017) mukaista.

Standardi 9.24 edellyttää, että sopimusvaltiot ihmisoikeuksia ja perusvapauksia kaikilta osin noudattaen yksilöivät selkeästi niiden toiminnassa käytettävät PNR-tiedot ja määrittävät tarkoitukset, joihin viranomaiset voivat käyttää PNR-tietoja. Nämä käyttötarkoitukset eivät saisi olla tarpeettoman laajoja, ja niihin olisi lukeuduttava erityisesti rajaturvallisuuteen liittyvät tarkoitukset terrorismin ja vakavan rikollisuuden torjumiseksi. Lisäksi PNR-tietojen luovutus vastaanottavassa valtiossa tai muissa valtioissa olisi rajattava niihin toimivaltaisiin viranomaisiin, jotka hoitavat PNR-tietojen käsittelytarkoituksiin liittyviä tehtäviä. Näiden viranomaisten olisi myös varmistettava tiedot luovuttavan viranomaisen suojatasoa vastaava suoja.

Standardissa 9.25 vahvistetaan vaatimukset, jotka koskevat tietoturvaa ja yksilöiden oikeuksia heidän PNR-tietojensa käsittelyssä, mukaan lukien syrjimättömyys, tietojen antaminen, hallinnolliset ja oikeudelliset muutoksenhakukeinot, pääsy tietoihin ja mahdollisuus pyytää tietojen korjaamista, poistamista tai merkintöjen tekemistä tietoihin. Suositeltu menettelytapa 26 kannustaa valtioita ilmoittamaan henkilöille heidän PNR-tietojensa käsittelystä ja heidän oikeuksistaan sekä tarjolla olevista muutoksenhakukeinoista.

Standardi 9.27 edellyttää, että sopimusvaltiot perustavat PNR-tietojen automaattisen käsittelyn objektiivisiin, täsmällisiin ja luotettaviin kriteereihin, jotka tosiasiallisesti osoittavat riskin olemassaolon ja jotka eivät johda laittomaan erotteluun, ja että ne pidättäytyvät tekemästä päätöksiä, joiden tuloksena on merkittäviä henkilöiden oikeudelliseen intressiin kielteisesti vaikuttavia toimia, pelkästään PNR-tietojen automaattisen käsittelyn perusteella.

Standardin 9.28 mukaan valtioiden on nimettävä yksi tai useampi toimivaltainen kansallinen viranomainen, jolla on valtuudet valvoa itsenäisesti PNR-tietojen suojaamista ja todeta, noudatetaanko PNR-tietojen keräämisessä, käytössä, käsittelyssä ja suojaamisessa kaikilta osin ihmisoikeuksia ja perusvapauksia.

Standardi 9.29 estää valtioita vaatimasta lentoyhtiöitä keräämään PNR-tietoja, jotka eivät ole tarpeen niiden tavanomaisen liiketoiminnan yhteydessä, tai suodattamaan tällaisia tietoja ennen niiden siirtämistä. Siinä kielletään myös sellaisten arkaluonteisten tietojen käsittely, jotka koskevat henkilön rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta, ammattiliiton jäsenyyttä tai hänen terveyttään, seksuaalista käyttäytymistään tai seksuaalista suuntautumistaan, paitsi poikkeuksellisissa tilanteissa rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen välitöntä suojaamista varten. Jos tällaisia tietoja toimitetaan, valtioiden on poistettava ne niin pian kuin se on käytännössä mahdollista.

Standardissa 9.30 asetetaan velvoitteita, jotka koskevat tietojen säilyttämistä sekä PNR-tietojen tekemistä tunnistamattomiksi ja niiden palauttamista tunnistettaviksi. Siinä edellytetään, että valtiot säilyttävät tiedot vain tietyn ajan, joka on määritelty niiden oikeudellisessa ja hallinnollisessa kehyksessä ja joka on tarpeellinen ja oikeasuhteinen niihin tarkoituksiin, joihin PNR-tietoja käytetään, ja häivyttävät ne tietyn määräajan jälkeen. Peittämisen jälkeen tunnistettavaksi palauttamisen olisi oltava mahdollista ainoastaan silloin, kun tietoja on tarkoitus käyttää sellaisen meneillään olevan tapauksen, uhan tai riskin yhteydessä, joka liittyy PNR-tietojen käsittelytarkoituksiin. Suositellussa menettelytavassa 9.32 ehdotetaan viiden vuoden enimmäissäilytysaikaa ja suositellussa menettelytavassa 9.33 ehdotetaan, että PNR-tiedoista olisi poistettava tunnistamisen mahdollistavat tiedot kuuden kuukauden kuluessa ja viimeistään kahden vuoden kuluttua siitä, kun lentoyhtiöt siirtävät ne.

Standardissa 9.33 määrätään, että PNR-tietojen siirrossa olisi pääsääntöisesti käytettävä yksityisyyttä vähemmän loukkaavaa tarjontamenetelmää. Tällä pyritään myös minimoimaan lentoliikenteen harjoittajille aiheutuva rasite rajoittamalla valtioiden mahdollisuutta määrätä sakkoja siirtovirheistä tietyissä olosuhteissa ja vaatimalla niitä rajoittamaan tarjontakertojen määrää.

Standardin 9.34 (a) mukaan sopimusvaltiot eivät saa kieltää tai estää PNR-tietojen siirtämistä toiselle sopimusvaltiolle, joka noudataa uusia standardeja. Standardin 9.34 (b) mukaan ICAO:n sopimusvaltiot voivat kuitenkin edelleen korottaa tai ylläpitää korkeampaa PNR-tietojen suojan tasoa kansallisen lainsäädäntönsä mukaisesti ja sopia muiden valtioiden kanssa lisäjärjestelyistä erityisesti niiden sisäisten lakisääteisten vaatimusten noudattamiseksi tai tarkempien määräysten vahvistamiseksi PNR-tietojen käsittelyä ja siirtämistä varten edellyttäen, että tämä ei muuten ole ristiriidassa standardien kanssa.

Standardin 9.35 mukaan sopimusvaltioita voidaan toisen valtion pyynnöstä pyytää osoittamaan, että ne noudattavat uusia standardeja. Jos sopimusvaltiot päättävät, että niiden on estettävä PNR-tietojen siirto tai määrättävä lentoyhtiölle sakkoja, standardin 9.36 mukaan niiden on tehtävä tämä avoimesti ja niin, että tavoitteena on tilanteen ratkaiseminen.

Suositeltu menettelytapa 9.37 kannustaa valtioita ilmoittamaan muille valtioille, joiden kanssa niillä on lentoliikenneyhteyksiä, kaikista PNR-järjestelmäänsä tehtävistä merkittävistä muutoksista, myös standardien ja suositeltujen menettelytapojen noudattamisen osalta. Suositellussa menettelytavassa 9.38 suositellaan, että valtiot eivät rankaise lentoliikenteen harjoittajia, kun ne yrittävät ratkaista PNR-tietojen siirtoa koskevia kiistoja.

2.5.Sovellettava EU:n oikeudellinen kehys

PNR-tietojen käsittely on keskeinen väline EU:n yhteisessä toiminnassa terrorismin ja vakavan rikollisuuden torjumiseksi ja turvallisuusunionin luomisessa. Epäilyttävien matkustustapojen tunnistaminen ja jäljittäminen PNR-tietojen käsittelyn avulla todisteiden keräämiseksi ja tarvittaessa rikokseen syyllistyneiden apureiden löytämiseksi sekä rikollisverkostojen paljastamiseksi on osoittautunut olennaisen tärkeäksi terrorismirikosten ja vakavien rikosten ennalta estämisen, paljastamisen ja tutkinnan sekä tällaisiin rikoksiin liittyvien syytetoimien kannalta. Samalla PNR-tietojen käsittely merkitsee puuttumista Euroopan unionin perusoikeuskirjan, jäljempänä ’perusoikeuskirja’, 7 ja 8 artiklassa vahvistettuihin yksityisyyttä ja henkilötietojen suojaa koskeviin oikeuksiin. Perusoikeuskirjan 52 artiklan 1 kohdan mukaan siitä on sen vuoksi säädettävä lailla, siinä on kunnioitettava kyseisten oikeuksien keskeistä sisältöä ja se on suhteellisuusperiaatteen mukaisesti sallittua ainoastaan siltä osin kuin se on välttämätöntä ja tosiasiallisesti vastaa unionin yleisen edun mukaista tavoitetta tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia. Yksi tällaisista yleisen edun mukaisista tavoitteista on kansalaisten suojeleminen vakavilta turvallisuusuhkilta.

Euroopan parlamentti ja neuvosto antoivat 27. huhtikuuta 2016 direktiivin (EU) 2016/681 PNR-tietojen käytöstä terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa sekä tällaisiin rikoksiin liittyviä syytetoimia varten. Tämän direktiivin nojalla kansalliset viranomaiset voivat vaatia lentoliikenteen harjoittajia siirtämään PNR-tietoja ja samalla turvata yksilön oikeuden yksityisyyteen ja tietosuojaan. Määräaika, johon mennessä jäsenvaltioiden oli saatettava direktiivi osaksi kansallista lainsäädäntöä, oli 25. toukokuuta 2018. Direktiivin kahden ensimmäisen soveltamisvuoden tarkastelu vuonna 2020 osoitti, että PNR-tietojen käsittely oli tuottanut konkreettisia tuloksia terrorismin ja vakavan rikollisuuden torjunnassa.

Lisäksi Euroopan parlamentti ja neuvosto hyväksyivät huhtikuussa 2016 uudet EU:n tietosuojasäännöt: asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) ja direktiivin (EU) 2016/680 (tietosuojasta lainvalvonnan alalla). Yleisessä tietosuoja-asetuksessa vahvistetaan muun muassa henkilötietojen kansainvälisiä siirtoja koskevat säännöt, joita sovelletaan lentoliikenteen harjoittajien tekemiin PNR-tietojen siirtoihin. Direktiivillä (EU) 2016/680 säännellään lainvalvontaviranomaisten suorittamaa henkilötietojen käsittelyä ja täydennetään direktiivissä (EU) 2016/681 säädettyä järjestelmää muun muassa rekisteröityjen oikeuksien ja kolmansien maiden lainvalvontaviranomaisille tehtävien yksittäisten tiedonsiirtojen osalta.

EU:n ja kolmansien maiden välillä on voimassa kaksi kansainvälistä sopimusta PNR-tietojen käsittelystä ja siirtämisestä (Australian ja Yhdysvaltojen kanssa). Euroopan unionin tuomioistuin antoi 26. heinäkuuta 2017 lausunnon (jäljempänä ’lausunto 1/15’) suunnitellusta sopimuksesta, joka koskee PNR-tietojen siirtämistä ja käsittelyä EU:n ja Kanadan välillä ja joka allekirjoitettiin 25. kesäkuuta 2014. Tuomioistuin katsoi, ettei sopimusta voida suunnitellussa muodossa tehdä, koska osa sen määräyksistä oli ristiriidassa perusoikeuskirjan mukaisten yksityisyyttä ja henkilötietojen suojaa koskevien perusoikeuksien kanssa. Erityisesti tuomioistuin tulkitsi perusoikeuskirjan asiaan liittyvien määräysten edellyttävän erityisiä suojatoimia riippumattoman viranomaisen suorittaman valvonnan, arkaluonteisten tietojen käsittelyn, PNR-tietojen automaattisen käsittelyn ja syrjimättömyyden, PNR-tietojen käsittelyn sallittujen tarkoitusten sekä PNR-tietojen säilyttämisen, käytön, luovuttamisen ja edelleensiirtämisen suhteen. Neuvoston hyväksyttyä neuvotteluohjeet joulukuussa 2017 komissio aloitti uudet PNR-tietoja koskevat neuvottelut Kanadan kanssa kesäkuussa 2018.