[pic] | EUROOPAN KOMISSIO |

Bryssel 21.9.2010

KOM(2010) 492 lopullinen

KOMISSION TIEDONANTO

matkustajarekisteritietojen (PNR) siirtoa kolmansiin maihin koskevasta kokonaisvaltaisesta lähestymistavasta

KOMISSION TIEDONANTO

matkustajarekisteritietojen (PNR) siirtoa kolmansiin maihin koskevasta kokonaisvaltaisesta lähestymistavasta

JOHDANTO

Yhdysvalloissa vuonna 2001, Madridissa vuonna 2004 ja Lontoossa vuonna 2005 tehtyjen terrori-iskujen jälkeen otettiin käyttöön uusi lähestymistapa sisäisen turvallisuuden politiikkoihin. Viimeaikaiset tapahtumat, kuten terrori-iskun yritykset lentokoneessa joulupäivänä vuonna 2009 ja New Yorkin Times Squarella vuonna 2010, osoittavat terroriuhkan olevan edelleen todellinen. Samaan aikaan järjestäytynyt rikollisuus ja erityisesti huumausaine- ja ihmiskauppa lisääntyvät.[1]

Torjuakseen näitä uhkia EU ja eräät kolmannet maat ovat toteuttaneet uusia toimenpiteitä, joihin kuuluu henkilötietojen kerääminen ja vaihtaminen. Komissio on esitellyt näitä toimenpiteitä tiedonannossaan ”Katsaus tiedonhallintaan vapauden, turvallisuuden ja oikeuden alueella”[2]. Eräs näistä toimenpiteistä on matkustajarekisteritietojen (PNR) käyttö lainvalvontatarkoituksiin.

Komissio antoi 16. tammikuuta 2003 neuvostolle ja parlamentille tiedonannon ”Lentomatkustajia koskevaan matkustajarekisteriin (PNR) sisältyvien tietojen siirto: EU:n yleinen toimintamalli”[3]. Tiedonannossa kehotettiin laatimaan oikeusvarmuuden tarjoavat puitteet PNR-tietojen siirrolle Yhdysvaltojen sisäisen turvallisuuden ministeriölle (DHS) sekä kehittämään PNR-tietoja koskeva sisäinen politiikka. Lisäksi tiedonannossa kehotettiin lentoyhtiöitä ottamaan käyttöön ns. ”työntömenetelmä”[4] tietojen siirtoa varten. Kansainvälistä siviili-ilmailujärjestöä (ICAO) kehotettiin käynnistämään PNR-tietojen siirtoa koskeva kansainvälinen aloite.

Mainitussa tiedonannossa esitetyt päätelmät on enimmäkseen pantu täytäntöön, mutta eräiden päätelmien osalta täytäntöönpano on vielä kesken. EU on esimerkiksi allekirjoittanut Yhdysvaltojen sisäisen turvallisuuden ministeriön kanssa sopimuksen PNR-tietojen siirtämisestä terrorismin ja vakavan kansainvälisen rikollisuuden torjumiseksi.[5] Sopimuksella varmistetaan PNR-tietojen siirto ja samalla huolehditaan henkilötietojen suojasta. Lisäksi komissio on tehnyt ehdotuksen puitepäätökseksi matkustajarekisterin (PNR) käytöstä lainvalvontatarkoituksiin[6]. Komissio tarkastelee parhaillaan vaikutustenarvioinnin pohjalta mahdollisuutta korvata kyseinen ehdotus ehdotuksella direktiiviksi PNR-tietojen käytöstä lainvalvontatarkoituksiin. Useimmat lentoyhtiöt ovat asianmukaisesti kehittäneet tietojensiirrossa sovellettavaa työntömenetelmää, ja ICAO on kehittänyt useita suuntaviivoja, jotka koskevat PNR-tietojen siirtoja viranomaisille.

Yhdysvaltojen lisäksi EU on tehnyt vastaavat sopimukset Kanadan[7] ja Australian[8] kanssa. Myös Uusi-Seelanti, Etelä-Korea ja Japani käyttävät PNR-tietoja, mutta ne eivät ole tehneet EU:n kanssa asiasta sopimusta tämän tiedonannon valmistumiseen mennessä. EU:n sisällä Yhdistyneellä kuningaskunnalla on käytössään PNR-järjestelmä, ja eräät muut jäsenvaltiot ovat joko antaneet asiasta lainsäädäntöä tai käyttävät PNR-tietoja koeluonteisesti.

Nämä esimerkit osoittavat, että PNR-tietojen käyttö lisääntyy ja se nähdään yhä keskeisemmäksi ja välttämättömämmäksi osaksi lainvalvontaa. Samanaikaisesti on otettava kantaa PNR-tietojen käytön yhteydessä tapahtuvaan henkilötietojen käsittelyyn, sillä se sivuaa perusoikeuksiin kuuluvia yksityisyyden suojaa ja henkilötietojen suojaa.

EU:n on sen vuoksi vastattava uusiin haasteisiin, jotka liittyvät PNR-tietojen kansainvälisiin siirtoihin. On todennäköistä, että niiden maiden määrä, jotka kehittävät PNR-järjestelmiä, kasvaa lähivuosina. EU on tehnyt tärkeitä huomioita PNR-järjestelmien rakenteesta ja merkityksestä suorittaessaan Yhdysvaltojen ja Kanadan kanssa tehtyjä sopimuksia koskevia yhteisiä uudelleentarkasteluja.

Komissio katsoo sen vuoksi tarpeelliseksi harkita uudelleen kokonaisvaltaista lähestymistapaa, jota sovelletaan siirrettäessä PNR-tietoja kolmansiin maihin. Lähestymistapaa tarkistettaessa olisi varmistettava vahva tietosuoja ja perusoikeuksien kaikkinainen kunnioittaminen. Lisäksi tarkistetun lähestymistavan olisi vastattava politiikan kehittämisen periaatteita, jotka on määritelty katsauksessa tiedonhallintaan vapauden, turvallisuuden ja oikeuden alueella[9]. Varsinkin tärkeimpien sidosryhmien, kuten jäsenvaltioiden, Euroopan parlamentin, Euroopan tietosuojavaltuutetun ja tietosuojatyöryhmän, näkemykset PNR-tietojen siirtoa koskevista yleisistä kysymyksistä ovat keskeisiä kehitettäessä tarkistettua lähestymistapaa PNR-tietoihin.

Tämän tiedonannon keskeinen tavoite on laatia ensimmäistä kertaa yleiset kriteerit, joiden pohjalta kolmansien maiden kanssa olisi tulevaisuudessa käytävä neuvottelut PNR-sopimuksista. Näin autetaan EU:ta vastaamaan nykykehitykseen sekä voidaan tiedottaa kolmansille maille, jäsenvaltioille ja kansalaisille, miten Euroopan komissio aikoo määritellä PNR-tietoja koskevan ulkoisen toimintapolitiikkansa. Komission suosituksissa PNR-sopimuksista kolmansien maiden kanssa käytäviä neuvotteluja varten olisi jatkossa otettava huomioon vähintään tässä tiedonannossa esitettävät yleiset kriteerit, joiden ohella kussakin suosituksessa voidaan esittää lisäkriteerejä.

PNR-TIETOJA KOSKEVAT KANSAINVÄLISET SUUNTAUKSET

PNR-tiedot ja niiden käyttö

PNR-tiedot ovat matkustajilta saatuja tarkistamattomia tietoja, joita lentoyhtiöt keräävät ja käyttävät apuna varausten tekemisen ja lähtöselvityksen yhteydessä. Kyseessä on kunkin matkustajan matkustajatiedot sisältävä tietue, jota säilytetään lentoyhtiöiden varaus- ja lähtöselvitysjärjestelmissä. Se käsittää monentyyppisiä tietoja: matkustuspäivät ja -reitti, lipputiedot, yhteystiedot (esim. osoite ja puhelinnumerot), matkatoimisto, maksutiedot, paikkanumero ja matkatavaratiedot.

PNR-tiedot eivät ole sama asia kuin matkustajien ennakkotiedot (API-tiedot). API-tiedoilla tarkoitetaan passin koneellisesti luettavasta osasta otettavia henkilötietoja, jotka käsittävät nimen, asuinpaikan, syntymäpaikan ja kansallisuuden. API-tiedot toimitetaan ns. API-direktiivin[10] nojalla rajavalvontaviranomaisille ainoastaan EU:n alueelle tulevien lentojen osalta rajavalvonnan tehostamista ja laittoman maahanmuuton torjuntaa varten. Vaikka direktiivissä sallitaan näiden tietojen käyttö myös muita lainvalvontatarkoituksia varten, muun käytön on tarkoitus olla poikkeuksellista. Jäsenvaltiot säilyttävät tietoja 24 tuntia.

API-tietoja hyödynnetään etupäässä henkilöllisyyden tarkastamisessa osana rajavalvontaa ja rajaturvallisuutta. Toisinaan lainvalvontaviranomaiset käyttävät tietoja myös epäiltyjen ja etsintäkuulutettujen tunnistamisessa. API-tietoja käytetään siis ensisijaisesti henkilöllisyyden tunnistamisen välineenä. Tällaisten tietojen käyttö yleistyy jatkuvasti eri puolilla maailmaa. Jo yli 30 maata käyttää API-tietoja järjestelmällisesti, ja yli 40 maata käynnistää parhaillaan omia API-järjestelmiä.

Eräät maat vaativat lentoyhtiöitä toimittamaan API-tietojen lisäksi PNR-tiedot. Tietoja käytetään apuna terrorismin ja vakavan rikollisuuden, kuten ihmis- ja huumausainekaupan, torjunnassa. Lähinnä tulliviranomaiset mutta myös lainvalvontaviranomaiset eri puolilla maailmaa ovat hyödyntäneet PNR-tietoja jo lähes 60 vuoden ajan. Aiemmin ei kuitenkaan ole ollut teknisesti mahdollista päästä ennalta sähköisesti käsiksi tällaisiin tietoihin, vaan niiden käyttö on rajoittunut vain joitakin lentoja koskevien tietojen manuaaliseen käsittelyyn. Teknologian kehittymisen ansiosta nykyään on kuitenkin mahdollista siirtää tietoja etukäteen sähköisesti.

PNR-tietojen käyttötarkoitukset poikkeavat huomattavasti API-tietojen käyttökohteista lähinnä sen vuoksi, että PNR-tietue käsittää hyvin erityyppisiä tietoja. PNR-tietoja hyödynnetään varsinkin rikostiedustelussa eikä niinkään henkilöllisyyden todentamisessa. PNR-tietojen tärkeimmät käyttökohteet ovat seuraavat: i) matkustajiin liittyvien riskien arviointi ja ”tuntemattomien” henkilöiden tunnistaminen (eli henkilöt, jotka saattavat kiinnostaa lainvalvontaviranomaisia, mutta eivät toistaiseksi ole epäiltyjä), ii) tietojen saatavuus API-tietoja varhaisemmassa vaiheessa, jolloin lainvalvontaviranomaisille jää enemmän aikaa käsitellä ja analysoida tietoja ja päättää jatkotoimista, iii) rikoksiin liittyvien osoitteiden, rikoksissa käytettyjen luottokorttien ja muiden rikosten osatekijöiden liittäminen oikeisiin henkilöihin, sekä iv) PNR-tietojen vertaaminen keskenään epäiltyjen rikostoverien tunnistamiseksi esimerkiksi tutkimalla, ketkä matkustavat yhdessä.

PNR-tiedot ovat luonteeltaan yksilöllisiä, ja niillä on myös erityiset käyttökohteet:

reaktiivinen käyttö (vanhat tiedot): tietojen käyttö tutkinnassa, syytetoimissa tai rikollisverkostojen selville saamisessa rikoksen jo tapahduttua. Jotta lainvalvontaviranomaiset voivat löytää tarvitsemansa vanhat tiedot, on heidän voitava säilyttää tietoja riittävän pitkä aika;

reaaliaikainen käyttö (tämänhetkiset tiedot): tietojen käyttö rikosten ehkäisemiseen tai tutkimiseen tai henkilöiden pidättämiseen, ennen kuin rikos on tapahtunut tai koska rikos on tapahtunut tai tapahtumassa. Tällaisissa tapauksissa PNR-tietoja on verrattava asiatietojen pohjalta ennalta määrättyihin riskitekijöihin, jotta voidaan tunnistaa epäillyt, jotka eivät ole aiemmin olleet lainvalvontaviranomaisten tiedossa. Lisäksi PNR-tietoja on verrattava etsittyjä henkilöitä ja esineitä koskevat tiedot sisältäviin tietokantoihin;

ennakoiva käyttö (mallit): tietojen käyttö kehityssuuntausten analysointiin ja matkustus- ja käyttäytymismallien selvittämiseen tosiseikkojen pohjalta. Kehitettyjä malleja voidaan sen jälkeen hyödyntää reaaliaikaisesti. Voidakseen kehittää matkustus- ja käyttäytymismalleja analyytikoiden on voitava käyttää tietoja riittävän pitkältä ajanjaksolta. Näissä tapauksissa lainvalvontaviranomaisten on voitava säilyttää tietoja riittävän pitkään.

Nykykehitys

Eräät kolmannet maat eli Yhdysvallat, Kanada, Australia, Uusi-Seelanti ja Etelä-Korea hyödyntävät jo PNR-tietoja lainvalvontatarkoituksiin. Eräät muut kolmannet maat eli Japani, Saudi-Arabia, Etelä-Afrikka ja Singapore ovat antaneet asiasta lainsäädäntöä ja/tai käyttävät PNR-tietoja koemielessä. Useat muut kolmannet maat ovat alkaneet harkita PNR-tietojen käyttöä, mutta eivät vielä ole antaneet asiasta lainsäädäntöä. EU:n sisällä Yhdistyneellä kuningaskunnalla on jo käytössään PNR-järjestelmä. Ranska, Tanska, Belgia, Ruotsi ja Alankomaat ovat jo antaneet asiasta lainsäädäntöä ja/tai testaavat parhaillaan PNR-tietojen käyttöä. Useat muut jäsenvaltiot harkitsevat PNR-järjestelmän perustamista.

Euroopan komissio tunnustaa, että PNR-tietoja on voitava hyödyntää terrorismin ja vakavan rikollisuuden ehkäisemisessä ja torjunnassa. Komissio on tehnyt vuonna 2003 antamansa tiedonannon mukaisesti ehdotuksen puitepäätökseksi matkustajarekisterin (PNR) käytöstä lainvalvontatarkoituksiin. Lissabonin sopimuksen voimaantulon takia komissio harkitsee ehdotuksen korvaamista ehdotuksella direktiiviksi PNR-tietojen käytöstä lainvalvontatarkoituksiin. Ehdotuksella pyritään velvoittamaan lentoyhtiöt toimittamaan PNR-tietoja jäsenvaltioille, jotta niitä voidaan hyödyntää terrorismin ja vakavan rikollisuuden torjunnassa.

Kansainvälisesti katsotaan yhä useammin, että PNR-tiedot ovat välttämätön keino torjua terrorismia ja vakavaa rikollisuutta. Tämä johtuu kolmesta seikasta. Ensinnäkin kansainvälinen terrorismi ja rikollisuus muodostavat vakavan uhan yhteiskunnalle, ja ongelman ratkaisemiseksi on ryhdyttävä toimiin. Lainvalvonnan kannalta on välttämätöntä päästä käsiksi PNR-tietoihin ja analysoida niitä. Toiseksi teknologian viimeaikainen kehitys on mahdollistanut tietoihin pääsyn ja niiden analysoinnin, vaikka joitakin vuosia sitten tämän toteuttamista pidettiin mahdottomana. Myös rikolliset hyödyntävät laajalti tekniikan kehitystä rikosten suunnittelussa, valmistelussa ja tekemisessä. Viimeksi voidaan mainita ulkomaanmatkailun ja matkustajamäärien nopea kasvu; tietojen sähköinen käsittely ennen matkustajien saapumista helpottaa ja nopeuttaa huomattavasti turvatarkastusten ja rajavalvontaan liittyvien tarkastusten suorittamista, koska riskinarvioinnit voidaan tehdä etukäteen. Lainvalvontaviranomaiset voivat sen ansiosta keskittyä ainoastaan niihin matkustajiin, joiden voidaan tosiseikkojen pohjalta katsoa muodostavan todellisen turvallisuusriskin, sen sijaan, että tehtäisiin arvioita vaistonvaraisesti tai stereotyyppisten ennakkoluulojen tai profiilien perusteella.

Nykykehityksen vaikutus Euroopan unioniin

EU:n tietosuojalainsäädännön mukaan EU:sta lähteviä lentoja operoivat lentoyhtiöt eivät saa siirtää ilman asianmukaisia takeita matkustajien PNR-tietoja sellaisille kolmansille maille, jotka eivät takaa henkilötietojen riittävää suojaa. Sen vuoksi lentoyhtiöt olivat hyvin vaikeassa tilanteessa, kun Yhdysvallat, Kanada ja Australia pyysivät niitä toimittamaan PNR-tietoja kyseisiin maihin suuntautuvilta lennoilta. EU astui kuvaan ja neuvotteli ja allekirjoitti erilliset kansainväliset sopimukset[11] kunkin maan kanssa. Näin tehtiin mahdolliseksi siirtää PNR-tietoja EU:n ulkopuolelle kyseisten kolmansien maiden lainvalvontaviranomaisille. Tarkoitus oli auttaa lentoyhtiöitä hankalassa tilanteessa ja varmistaa matkustajien tiedoille riittävä suoja, samalla kun tunnustettiin, että PNR-tietojen käyttö on tärkeä ja välttämätön osa terrorismin ja vakavan rikollisuuden torjuntaa.

Sitä mukaa kun yhä useampi maa ottaa käyttöön PNR-järjestelmiä, päädytään toistuvasti samanlaiseen tilanteeseen. Toisekseen jos komissio päättää esittää ehdotuksen PNR-tietojen käyttöä koskevaksi EU:n direktiiviksi, tietojensiirtopyyntöjä voi tulla yhä useammin, mikäli kolmannet maat edellyttävät EU:lta vastavuoroisuutta.

Tähän asti PNR-tietojen siirtoa koskevia kansainvälisiä sopimuksia on tehty kolmansien maiden kanssa puhtaasti kysynnän mukaan ja tapauskohtaisesti. Vaikka kaikissa sopimuksissa käsitellään yhteisiä kysymyksiä ja määrätään samoista asioista, sopimusten määräykset eivät ole keskenään identtisiä. Toisinaan tämä on johtanut siihen, että lentoyhtiöihin ja tietosuojaan on sovellettu erilaisia sääntöjä. Koska sopimusten tarve todennäköisesti kasvaa lähitulevaisuudessa, voitaisiin yhteisellä strategialla auttaa EU:ta vastaamaan näihin pyyntöihin entistä järjestelmällisemmin. Samalla saataisiin aikaan keskenään yhdenmukaisempia sopimuksia.

PNR-TIETOJA KOSKEVA TARKISTETTU EU:N KOKONAISVALTAINEN LÄHESTYMISTAPA

Syyt PNR-tietoja koskevan kokonaisvaltaisen lähestymistavan tarkistamiseen

Samalla kun vuoden 2003 tiedonannon päätelmiä pannaan täytäntöön ja EU on uusien kehityssuuntausten ja haasteiden edessä, on tärkeää, että EU huomioi nämä uudet kehityssuuntaukset ja haasteet kehittämällä kokonaisvaltaista lähestymistapaansa PNR-tietojen siirtoon kolmansiin maihin seuraavista syistä:

Terrorismin ja vakavan kansainvälisen rikollisuuden torjunta : EU:lla on velvollisuus tehdä yhteistyötä kolmansien maiden kanssa edellä mainittujen uhkien torjumiseksi. Eräs yhteistyökeino on vaihtaa tietoja kolmansien maiden kanssa. PNR-tietojen toimittaminen lainvalvontatarkoituksia varten on välttämätöntä terrorismin ja vakavan kansainvälisen rikollisuuden torjumiseksi. Vapauden, turvallisuuden ja oikeuden alueen ulkoista ulottuvuutta koskevassa strategiassa[12], terrorismin vastaisessa EU:n strategiassa[13] ja Tukholman ohjelmassa[14] mainitaan tarve läheiseen yhteistyöhön kolmansien maiden kanssa.

Henkilötietojen ja yksityisyyden suojan varmistaminen : EU on sitoutunut varmistamaan henkilötietojen korkeatasoisen ja tehokkaan suojelun. Tämä kattaa myös sen, että PNR-tietoja siirretään kolmansille maille turvatusti ja EU:n oikeudellisia vaatimuksia noudattaen ja että matkustajat voivat käyttää oikeuksiaan, jotka koskevat heidän omien tietojensa käsittelyä.

Oikeusvarmuuden turvaaminen ja lentoyhtiöille asetettujen velvoitteiden yksinkertaistaminen : On tärkeää, että EU tarjoaa yhdenmukaiset säädöspuitteet lentoyhtiöiden harjoittamalle PNR-tietojen siirrolle kolmansiin maihin. Tämä on tarpeen, jotta voidaan suojella lentoyhtiöitä seuraamuksilta ja varmistaa, että tietojen siirtoon ympäri maailmaa sovelletaan mahdollisimman yhdenmukaisia edellytyksiä ja sääntöjä. Näin voidaan vähentää toimialalle aiheutuvia kustannuksia ja varmistaa yhtäläiset toimintaedellytykset kaikille toimijoille.

Luodaan johdonmukaisuuteen tähtäävät yleiset edellytykset ja kehitetään kansainvälistä lähestymistapaa: Sopimukset, jotka EU on allekirjoittanut kolmansien maiden kanssa PNR-tietojen siirrosta, ovat tarkoituksensa puolesta samanlaisia, mutta niiden sisällössä on eroja tietojen siirtoon sovellettavien yksityiskohtaisten sääntöjen ja kolmansien maiden antamien sitoumusten osalta. Erot sitoumuksissa ovat jossain määrin hyväksyttäviä ottaen huomioon kunkin maan erityiset vaatimukset ja erilaiset oikeusjärjestelmät. Kaikkien sitoumusten olisi kuitenkin täytettävä tietyt yleiset kriteerit (ks. 3.2 ja 3.3 kohta jäljempänä). Jotta kaikkia matkustajia kohdeltaisiin mahdollisimman yhdenmukaisella tavalla ja jotta toimialalle aiheutuisi mahdollisimman vähän kustannuksia, olisi kolmansien maiden kanssa tulevaisuudessa tehtävien sopimusten sisällön ja niissä määrättävien normien oltava mahdollisimman yhdenmukaiset. Tämän pohjalta voitaisiin seuraavassa vaiheessa kehittää yhdenmukaisempi monenvälinen lähestymistapa PNR-tietojen vaihtoon.

Matkustajien mukavuuden lisääminen: Samalla kun pyritään hallitsemaan yhteiskunnan turvallisuutta uhkaavia tekijöitä, matkustajiin rajoilla kohdistuvat tarkastukset muuttuvat yhä tarkemmiksi ja vievät yhä enemmän aikaa. Kun ulkomaanmatkailu on samalla koko ajan lisääntynyt, odotusajat maiden välisillä rajoilla ovat pidentyneet. PNR-tietojen sähköinen siirtäminen ennen kuin matkustaja ylittää rajan mahdollistaa matkustajien etukäteistarkastukset. Sen ansiosta matkustajat voivat ylittää rajat nopeammin ja vaivattomammin, ja lainvalvontaviranomaiset voivat keskittyä vain niihin tunnistettuihin henkilöihin, joista he ovat kiinnostuneet.

Yleiset seikat

PNR-tietoja koskevan tarkistetun kokonaisvaltaisen lähestymistavan pohjalta EU voi tulevaisuudessa valita parhaan tavan käsitellä kolmansien maiden esittämiä pyyntöjä saada PNR-tietoja. Tarkoitus on ottaa huomioon politiikan kehittämisen periaatteet, jotka määritellään katsauksessa tiedonhallintaan vapauden, turvallisuuden ja oikeuden alueella, sekä seuraavat erityiset seikat:

Yhteiset turvallisuusintressit : Terrorismi ja vakava rikollisuus ovat luonteeltaan kansainvälisiä, ja ne uhkaavat erityisesti tiettyjä maita. EU on sitoutunut tekemään yhteistyötä kyseisten maiden kanssa ja avustamaan niitä turvallisuusuhkien torjunnassa.

Henkilötietojen suoja: Koska PNR-tietojen siirto, käyttö ja käsittely vaikuttavat yksilöiden perusoikeuksiin kuuluvaan henkilötietojen suojaan, EU:n on ehdottomasti tehtävä yhteistyötä vain sellaisten kolmansien maiden kanssa, jotka voivat varmistaa riittävän tietosuojan EU:sta toimitetuille PNR-tiedoille.

Suhteet kolmansiin maihin: EU:n olisi pohdittava suhteitaan kolmanteen maahan kokonaisuutena. Tärkeitä huomioon otettavia seikkoja ovat poliisin ja oikeuslaitoksen toiminta ja niiden kanssa tehtävä yhteistyö, oikeusvaltioperiaate sekä ihmisoikeuksien kunnioittaminen.

Normit, sisältö ja kriteerit

PNR-tietoja koskevassa kokonaisvaltaisessa lähestymistavassa olisi määriteltävä yleiset normit, jotka EU:n ja kolmansien maiden välillä tehtävien kansainvälisten sopimusten on täytettävä. Näin on tarkoitus varmistaa, että kyseisten maiden soveltamat tietosuojatakeet ja lentoyhtiöiden suorittamaa tietojen siirtoa koskevat yksityiskohtaiset säännöt vastaavat tosiaan mahdollisimman hyvin.

Lisäksi EU:lla olisi oltava käytössään keinot valvoa täytäntöönpanon asianmukaisuutta esimerkiksi tarkastelemalla yhdessä säännöllisesti sopimusten täytäntöönpanoa. EU tarvitsee myös tehokkaita riitojenratkaisukeinoja.

Henkilötietojen suoja

PNR-tietojen kerääminen ja siirtäminen kolmansiin maihin koskettaa hyvin laajoja ihmisjoukkoja ja näiden henkilötietoja. Sen vuoksi on kiinnitettävä erityistä huomiota henkilötietojen tehokkaaseen suojaan.

Yksityisyyden suoja ja henkilötietojen suoja ovat perusoikeuksia, jotka on Euroopassa turvattu Euroopan ihmisoikeussopimuksen 8 artiklassa ja EU:n perusoikeuskirjan[15] 7 ja 8 artiklassa. Nämä perusoikeudet koskevat kaikkia ihmisiä heidän kansalaisuudestaan ja asuinpaikastaan riippumatta. Tietosuojasta määrätään tarkemmin vuonna 1981 tehdyssä Euroopan neuvoston yleissopimuksessa N:o 108 yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä sekä vuonna 2001 tehdyssä yleissopimuksen lisäpöytäkirjassa N:o 181.

Perusoikeuskirjassa tunnustettujen oikeuksien ja vapauksien käyttämistä voidaan rajoittaa ainoastaan lailla kyseisten oikeuksien ja vapauksien keskeistä sisältöä kunnioittaen. Suhteellisuusperiaatteen mukaisesti rajoituksia voidaan säätää ainoastaan, jos ne ovat välttämättömiä ja vastaavat unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.

Koska kolmansissa maissa sovellettava tietosuoja saattaa poiketa EU:ssa sovellettavasta, on tärkeää varmistaa PNR-tietojen siirrossa EU:n jäsenvaltioista kolmansiin maihin, että kyseinen kolmas maa huolehtii riittävästä tietosuojasta asianmukaisen oikeusperustan nojalla. Riittävä tietosuoja voi perustua kolmannen maan lainsäädäntöön tai se voidaan varmistaa antamalla henkilötietojen käsittelyä koskevassa kansainvälisessä sopimuksessa oikeudellisesti pätevät sitoumukset.

Arvioitaessa kolmannen maan tarjoaman tietosuojan riittävyyttä on otettava huomioon kaikki seikat, jotka liittyvät tietojensiirto-operaatioon. Tässä yhteydessä EU ottaa huomioon myös sen, miten hyvin kolmas maa noudattaa kansainvälisiä normeja, ja erityisesti sen, onko maa ratifioinut tietosuojaa ja yleensä perusoikeuksia koskevat kansainväliset sopimukset. Euroopan komission jo tekemiä päätöksiä tietosuojan riittävyydestä olisi sovellettava ohjenuorana harkittaessa, millainen tietosuojan taso katsotaan riittäväksi.

Tietoja pyytävän kolmannen maan olisi noudatettava seuraavia tietosuojaa koskevia perusperiaatteita:

- Käyttötarkoituksen rajoittaminen – tietojen käyttö: Sopimuksessa olisi määriteltävä selkeästi ja tarkasti, miten laajalti kolmas maa saa käyttää tietoja. Käyttö on rajoitettava siihen, mikä on tarpeen asetettujen tavoitteiden saavuttamiseksi. Voimassa olevista PNR-sopimuksista saatujen kokemusten mukaan PNR-tietoja olisi käytettävä vain lainvalvonta- ja turvallisuustarkoituksiin terrorismin ja vakavan kansainvälisen rikollisuuden torjumiseksi. Terrorismin ja vakavan kansainvälisen rikollisuuden kaltaiset keskeiset käsitteet olisi määriteltävä asiaa koskevissa EU:n säädöksissä olevien määritelmien mukaisesti.

- Käyttötarkoituksen rajoittaminen – tietojen soveltamisala: Tietojen vaihtaminen olisi rajoitettava välttämättömään, ja sen olisi oltava oikeassa suhteessa tavoitteisiin. Tehtävissä sopimuksissa olisi lueteltava kattavasti kaikki ne tietoluokat, joihin kuuluvia PNR-tietoja on tarkoitus siirtää.

- Henkilötietojen erityisluokat (arkaluonteiset tiedot): PNR-tietoja, jotka koskevat henkilön rotua tai etnistä alkuperää, poliittisia mielipiteitä tai uskonnollista tai filosofista vakaumusta, ammattiliittoon kuulumista, terveydentilaa tai sukupuolielämää, voi käyttää ainoastaan poikkeuksellisesti, jos ihmishenki on välittömässä vaarassa, ja edellyttäen, että kolmas maa antaa riittävät takeet esimerkiksi siitä, että tietoja saa käyttää vain tapauskohtaisesti, korkean viranomaisen luvalla ja ehdottomasti pelkästään alkuperäisen siirron tarkoitusta varten.

- Tietoturva: PNR-tiedot on suojattava väärinkäytöltä ja laittomalta pääsyltä kaikin asianmukaisin teknisin keinoin ja turvajärjestelyin, jotta voidaan ehkäistä tietojen turvallisuuteen, luottamuksellisuuteen ja eheyteen kohdistuvat riskit.

- Valvonta ja tilintekovelvollisuus: PNR-tietoja käyttäviä julkisia viranomaisia valvomaan on asetettava tietosuojasta vastaava riippumaton julkinen valvontaelin, jolla on tehokkaat toiminta- ja täytäntöönpanovaltuudet. Tietoja käyttävien viranomaisten on noudatettava henkilötietojen suojaa koskevia vakiintuneita sääntöjä. Lisäksi kyseisille viranomaisille olisi annettava valtuudet käsitellä yksilöiden tekemiä, PNR-tietojen käsittelyä koskevia kanteluja.

- Läpinäkyvyys ja ilmoittaminen: Kaikille henkilöille on ilmoitettava ainakin henkilötietojen käsittelyn tarkoitus, tietojen käsittelijä, käsittelyn perustana olevat säännöt tai säädökset, ne kolmannet osapuolet, joille tietoja toimitetaan, sekä se, miten ja mihin henkilö voi osoittaa mahdollisen valituksen.

- Pääsy tietoihin sekä tietojen oikaiseminen ja poistaminen: Kaikilla on oltava oikeus tutustua omiin PNR-tietoihinsa sekä tarvittaessa pyytää omien tietojen oikaisemista tai poistamista.

- Oikeussuoja: Jokaisella on kansallisuudesta tai asuinpaikasta riippumatta oltava yhtäläinen oikeus pyytää asiansa käsittelyä hallinnollisessa menettelyssä tai tuomioistuimessa, jos hänen yksityisyyttään on loukattu tai tietosuojasääntöjä on rikottu. Yksityisyyden loukkauksesta tai sääntöjen rikkomisesta määrätään asianmukaiset ja tehokkaat seuraamukset ja/tai korjaustoimenpiteet.

- Automaattiset yksittäispäätökset: Päätökset, joilla on kielteisiä seurauksia tai vaikutuksia yksilön kannalta, eivät voi perustua pelkästään henkilötietojen automaattiseen, ilman ihmisen työpanosta tapahtuvaan käsittelyyn.

- Tietojen säilyttäminen: PNR-tietoja ei saa säilyttää pidempään kuin on tarpeen ennalta määriteltyjen tehtävien toteuttamiseksi. Säilytysajassa olisi otettava huomioon PNR-tietojen erilaiset käyttötarkoitukset (ks. 2.1 kohta edellä) sekä mahdollisuus rajoittaa tietoihin pääsyä säilytysajan kuluessa esimerkiksi tekemällä tiedot vähitellen anonyymeiksi.

- Rajoitukset, jotka koskevat tietojen luovuttamista edelleen muille viranomaisille: PNR-tietoja olisi toimitettava ainoastaan sellaisille muille viranomaisille, joilla on valtuudet osallistua terrorismin ja vakavan kansainvälisen rikollisuuden torjuntaan ja jotka antavat tiedot vastaanottavalle viranomaiselle sitoumuksen siitä, että ne tarjoavat samantasoisen tietosuojan kuin tiedot vastaanottava viranomainen sopimuksen nojalla tarjoaa. PNR-tietoja ei koskaan saa luovuttaa massoittain vaan pelkästään tapauskohtaisesti.

- Rajoitukset, jotka koskevat tietojen edelleensiirtoa kolmansiin maihin: Tämä koskee lähinnä tietojen käytölle ja edelleen toimittamiselle asetettuja rajoituksia, joilla pyritään estämään sopimuksen kiertäminen silloin kun PNR-tietoja toimitetaan jollekin toiselle kolmannelle maalle. Tietojen edelleensiirtoon on sovellettava asianmukaisia takeita. Tiedot vastaanottava kolmas maa saa toimittaa nämä tiedot toisen kolmannen maan toimivaltaiselle viranomaiselle vain siinä tapauksessa, että jälkimmäinen sitoutuu noudattamaan tietojen käsittelyssä samantasoista tietosuojaa kuin sopimuksessa määrätään ja että edelleensiirto rajoittuu pelkästään tietojen alkuperäisen siirron tarkoitukseen. PNR-tietoja ei koskaan saa luovuttaa massoittain vaan pelkästään tapauskohtaisesti.

Siirtoa koskevat yksityiskohtaiset säännöt

Oikeusvarmuuden takaamiseksi ja lentoyhtiöille aiheutuvan taloudellisen taakan minimoimiseksi on tärkeä yksinkertaistaa sääntöjä, joita sovelletaan, kun lentoyhtiöt siirtävät tietoja kolmansiin maihin. Lentoyhtiöille aiheutuvaa taloudellista taakkaa voitaisiin keventää huomattavasti varmistamalla yhdenmukaiset velvoitteet, sillä yhtiöiden ei silloin tarvitsisi investoida niin suuria summia velvoitteiden täyttämiseen. Sitä varten olisi toivottavaa, että vähintään seuraavat siirtoa koskevat yksityiskohtaiset säännöt yhtenäistetään:

- Tiedonsiirtomenetelmä : Jotta lentoyhtiöiden tietokantoihin sisältyvät tiedot voidaan suojata ja varmistaa niiden säilyminen lentoyhtiöiden omassa valvonnassa, tiedot olisi aina siirrettävä käyttäen työntömenetelmää.

- Siirtotiheys : Kolmannen maan tekemien tiedonsiirtopyyntöjen lukumäärä olisi voitava rajoittaa johonkin kohtuulliseen määrään. Näin voidaan osaltaan edistää turvallisuutta ja minimoida lentoyhtiöille aiheutuvat kustannukset.

- Ei lisätietojen keräämisvelvoitetta lentoyhtiöille: Lentoyhtiöitä ei saa velvoittaa keräämään enempää tietoja kuin ne jo nykyisin keräävät eikä pakottaa keräämään tietyntyyppisiä tietoja. Lentoyhtiöt voidaan velvoittaa toimittamaan vain ne tiedot, joita ne keräävät osana tavanomaista liiketoimintaansa.

Keskeiset käsitteet

- Kesto ja tarkastelu: Kolmansien maiden kanssa tehtävään yhteistyöhön sovellettavien ehtojen olisi oltava voimassa tietyn ajan, minkä lisäksi niihin olisi sisällytettävä kummallekin sopimuspuolelle mahdollisuus irtisanoa sopimus. Yhteistyön ehtoja olisi voitava tarvittaessa tarkistaa.

- Valvonta: EU:lla on ehdottomasti oltava keinot valvoa asianmukaista täytäntöönpanoa esimerkiksi suorittamalla säännöllisesti yhteisiä uudelleentarkasteluja, jotka koskevat sopimusten kaikkien osatekijöiden, kuten käyttötarkoituksen rajoittamisen, matkustajien oikeuksien ja PNR-tietojen edelleensiirron, täytäntöönpanoa. Lisäksi tähän voisi sisältyä tietojen säilyttämisen oikeasuhteisuuden arviointi sen perustella, millaista apua tiedoista on tietojensiirron tarkoituksen saavuttamisessa. Yhteisten uudelleentarkastelujen tulokset olisi esitettävä neuvostolle ja Euroopan parlamentille.

- Riitojen ratkaiseminen : Olisi säädettävä tehokkaista riitojenratkaisukeinoista, joita sovelletaan sopimusten tulkintaan, soveltamiseen ja täytäntöönpanoon.

- Vastavuoroisuus: Vastavuoroisuus olisi varmistettava erityisesti huolehtimalla siitä, että tiedot vastaanottavan kolmannen maan toimivaltaiset viranomaiset toimittavat PNR-tietoja analysoimalla saadut tiedot jäsenvaltioiden poliisi- ja oikeusviranomaisille sekä Europolille ja Eurojustille.

PITKÄN AIKAVÄLIN NÄKÖKULMA

Koska yhä useammat maat käyttävät PNR-tietoja, käyttöön liittyvät kysymykset vaikuttavat koko kansainväliseen yhteisöön. Vaikka EU:n soveltama kahdenvälinen lähestymistapa oli aikanaan asianmukainen ja näyttää soveltuvan myös lähitulevaisuudessa, on mahdollista, että se ei enää ole käyttökelpoinen, jos yhä useampi maa alkaa käyttää PNR-tietoja. Sen vuoksi EU:n olisi harkittava mahdollisuutta luoda kansainvälisesti sovellettavat normit PNR-tietojen siirtoa ja käyttöä varten. ICAOn vuonna 2004 kehittämät suuntaviivat, jotka koskevat pääsyä PNR-tietoihin, muodostavat vankan perustan PNR-tietojen siirtoa koskevien yksityiskohtaisten sääntöjen yhtenäistämiselle. Suuntaviivat eivät kuitenkaan ole sitovat, eikä niissä myöskään käsitellä tietosuojakysymyksiä riittävästi. Sen vuoksi ne eivät itsessään riitä, vaan niitä olisi käytettävä viitekehyksenä erityisesti lentoyhtiöitä koskevissa asioissa.

EU:n olisi tältä pohjalta harkittava keskustelujen käynnistämistä sellaisten kansainvälisten kumppaneiden kanssa, jotka käyttävät tai harkitsevat käyttävänsä PNR-tietoja, jotta voidaan nähdä, päästäisiinkö PNR-tietojen siirroista yksimielisyyteen monenvälisesti. Jos keskusteluissa päästään onnistuneeseen lopputulokseen, EU:n olisi käynnistettävä asiasta kiinnostuneiden kansainvälisten kumppaneiden kanssa viralliset neuvottelut monenvälisen ratkaisun löytämiseksi.

PÄÄTELMÄT

Tässä tiedonannossa on esitetty yleiskatsaus niihin kehityssuuntauksiin, joita tällä hetkellä esiintyy PNR-tietojen käytössä EU:ssa ja sen ulkopuolella. Näiden kehityssuuntausten sekä EU:hun ja muuhun maailmaan kohdistuvien uhkien vuoksi komissio katsoo, että EU:n on tarkistettava kokonaisvaltaista lähestymistapaansa PNR-tietojen siirtoon. Komissio on tässä yhteydessä ottanut huomioon tärkeimpien sidosryhmien esittämät näkemykset PNR-tietoihin liittyvistä yleisistä kysymyksistä sekä politiikan kehittämisen periaatteet, jotka määritellään katsauksessa tiedonhallintaan vapauden, turvallisuuden ja oikeuden alueella.

Tiedonannossa esitetään ensimmäistä kertaa eräitä yleisiä näkökohtia, joiden pohjalta EU:n olisi käytävä kolmansien maiden kanssa neuvotteluja PNR-sopimuksista. Noudattamalla kyseisiä periaatteita voidaan lisätä PNR-sopimusten keskinäistä yhdenmukaisuutta ja varmistaa perusoikeuksiin kuuluvien yksityisyyden suojan ja henkilötietojen suojan kunnioittaminen. Samanaikaisesti tämä tiedonanto on riittävän joustava, jotta sitä voidaan mukauttaa vastaamaan kunkin kolmannen maan erityisiä turvallisuustarpeita ja maan oikeusjärjestystä.

PNR-tietojen maailmanlaajuista käyttöä koskevien pitkän aikavälin kehityssuuntausten pohjalta tiedonannossa todetaan lopuksi, että EU:n olisi harkittava mahdollisuutta korvata keskipitkällä aikavälillä kahdenväliset sopimukset kaikkien PNR-tietoja käyttävien maiden kesken tehtävällä monenvälisellä sopimuksella.

[1] Eurostat 36/2009.

[2] KOM(2010) 385.

[3] KOM(2003) 826.

[4] Työntömenetelmässä lentoyhtiö toimittaa tiedot kolmanteen maahan, eikä kolmas maa saa oikeutta tutustua lentoyhtiön tietokantoihin.

[5] EUVL L 204, 4.8.2007, s. 16.

[6] KOM(2007) 654.

[7] EUVL L 91, 29.3.2006, s. 53, EUVL L 91, 29.3.2006, s. 49, ja EUVL L 82, 21.3.2006, s. 15.

[8] EUVL L 213, 8.8.2008, s. 49.

[9] KOM(2010) 385.

[10] Direktiivi 2004/82/EY, annettu 29 päivänä elokuuta 2004, liikenteenharjoittajien velvollisuudesta toimittaa tietoja matkustajista.

[11] Vuonna 2004 EY:n ja Yhdysvaltojen välillä tehty PNR-sopimus (EUVL L 183, 20.5.2004, s. 84) ja 14 päivänä toukokuuta 2004 tehty komission päätös (EUVL L 235, 6.7.2004, s. 11); vuonna 2006 EU:n ja Yhdysvaltojen välillä tehty PNR-sopimus (EUVL L 298, 27.10.2006, s. 29) ja saatekirje (EUVL C 259, 27.10.2006, s. 1); vuonna 2007 EU:n ja Yhdysvaltojen välillä tehty PNR-sopimus (EUVL L 204, 4.8.2007, s. 18); EU:n ja Kanadan välillä tehty PNR-sopimus (EUVL L 82, 21.3.2006, s. 15, ja EUVL L 91, 29.3.2006, s. 49); ja EU:n ja Australian välillä tehty PNR-sopimus (EUVL L 213, 8.8.2008, s. 47).

[12] KOM(2005) 491.

[13] Neuvoston asiakirja 14469/4/05, 30.11.2005.

[14] Neuvoston asiakirja 17024/09, 2.12.2009.

[15] Vastaavista tietosuojaperiaatteista määrätään esimerkiksi seuraavissa kansainvälisissä sopimuksissa, jotka koskevat yksityisyyden ja henkilötietojen suojaa: 16 päivänä joulukuuta 1966 tehdyn kansalaisoikeuksia ja poliittisia oikeuksia koskevan kansainvälisen yleissopimuksen 17 artikla, tietokoneistettujen henkilötiedostojen sääntelyä koskevat YK:n suuntaviivat (YK:n yleiskokouksen 14 päivänä joulukuuta 1990 antama päätöslauselma 45/95), Taloudellisen yhteistyön ja kehityksen järjestön (OECD) neuvoston suositus suuntaviivoista, jotka koskevat yksityiselämän suojaa ja henkilötietojen siirtämistä maiden välillä, sekä Euroopan neuvoston yleissopimus yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä (ETS N:o 108) ja sen lisäpöytäkirja (ETS N:o 181), joihin voivat liittyä myös Euroopan ulkopuoliset maat.