HU Az Európai Unió Hivatalos Lapja C 110/1

Az európai adatvédelmi biztos véleménye az utas-nyilvántartási adatok (PNR) bűnüldözési célú felhasználásáról szóló tanácsi kerethatározati javaslat tervezetéről

(2008/C 110/01)

AZ EURÓPAI ADATVÉDELMI BIZTOS,

tekintettel az Európai Közösséget létrehozó szerződésre, és különösen annak 286. cikkére,

tekintettel az Európai Unió Alapjogi Chartájára, és különösen annak 8. cikkére,

tekintettel a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre (1),

tekintettel a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló, 2000. december 18-i 45/2001/EK európai parlamenti és tanácsi rendeletre (2), és különösen annak 41. cikkére,

tekintettel az Európai Bizottságtól 2007. november 13-én kapott, a 45/2001/EK rendelet 28. cikkének (2) bekezdése szerinti véleménykérésre,

ELFOGADTA A KÖVETKEZŐ VÉLEMÉNYT

I. BEVEZETÉS

Konzultáció az európai adatvédelmi biztossal

1. A Bizottság a 45/2001/EK rendelet 28. cikke (2) bekezdésének megfelelően konzultáció céljából elküldte az utas-nyilvántartási adatok (PNR) bűnüldözési célú felhasználásáról szóló tanácsi kerethatározati javaslat tervezetét (a továbbiakban: a javaslat) az európai adatvédelmi biztosnak.

2. A javaslat a PNR-adatok EU-n belüli feldolgozására vonatkozik, és szorosan kapcsolódik az utasadatok gyűjtését és felhasználását érintő egyéb rendszerekhez, különösen az EU és az USA között 2007 júliusában létrejött megállapodáshoz. Ezek a rendszerek az adatvédelmi biztos nagy érdeklődésére tartanak számot, akinek már módjában állt előzetes észrevételeket küldeni a tervezett uniós PNR-rendszerrel kapcsolatos kérdőívre vonatkozóan, amelyet 2006. decemberében megküldtek az érdekelt feleknek (3). Az európai adatvédelmi biztos üdvözli a Bizottság részéről indított konzultációt. Az európai adatvédelmi biztos szerint ezt a véleményt meg kell említeni a tanácsi határozat preambulumában.

A javaslat összefüggéseiben szemlélve

3. A javaslat célja azon tagállami rendelkezések harmonizálása, amelyek a legalább egy tagállam területéről induló vagy oda érkező járatot üzemeltető légi fuvarozók számára olyan kötelezettséget állapítanak meg, hogy a terrorcselekmények és a szervezett bűnözés megelőzése és az ellene folytatott küzdelem céljából PNR-adatokat továbbítsanak az illetékes hatóságok részére.

4. Az Európai Unió megállapodásokat kötött az USA-val és Kanadával a PNR-adatok hasonló célokból való továbbítására vonatkozóan. Az USA-val 2004. májusában kötött első megállapodás helyébe 2007. júliusában új megállapodás lépett (4). 2005. júliusában az EU hasonló megállapodást kötött Kanadával (5). Tárgyalásokat terveznek továbbá az EU és Ausztrália között a PNR-adatok cseréjével kapcsolatos megállapodásról, és Dél-Korea szintén PNR-adatokat kér a területére érkező járatokra vonatkozóan, azonban európai szinten egyelőre még nem vették tervbe a tárgyalásokat.

5. A javaslat az EU-n belül kiegészíti a fuvarozóknak az utasokkal kapcsolatos adatok (az ún. API-adatok) közlésére vonatkozó kötelezettségéről szóló 2004/82/EK tanácsi irányelvet (6) az illegális bevándorlás elleni küzdelem és a határellenőrzés javítása céljából. Ezt az irányelvet a tagállamok nemzeti jogába legkésőbb 2006. szeptember 5-ig át kellett volna ültetni. Azonban még nem minden tagállam biztosította a végrehajtását.

6. A személyazonosítást elősegíteni hivatott előzetes utasinformációs (API) adatokkal szemben a javaslatban említett PNR-adatok hozzájárulnának a személyekkel kapcsolatos kockázatértékelések végrehajtásához, bűnüldözési operatív információk szerzéséhez, valamint az ismert és ismeretlen személyek közötti kapcsolatok feltérképezéséhez.

7. A javaslat a következő fő elemeket tartalmazza: — A terrorista bűncselekmények és a szervezett bűnözés megelőzése és a velük szembeni küzdelem érdekében előírja a légi fuvarozók számára a PNR-adatoknak a tagállamok illetékes hatóságai részére történő rendelkezésre bocsátását. — Utasinformációkkal foglalkozó hatóság kijelölését irányozza elő elvileg valamennyi tagállamban, amelynek feladata a PNR-adatoknak a légi fuvarozóktól (vagy a kijelölt közvetítőktől) való összegyűjtése, valamint a személyekkel kapcsolatos kockázatértékelések végrehajtása. — Az ennek megfelelően értékelt információkat továbbítani kell valamennyi tagállam illetékes hatóságainak. Az információk tagállamok közötti cseréjére eseti alapon kerül sor, a fent jelzett célból. — Az Európai Unión kívüli országoknak való információtovábbítás további feltételekhez kötött. — Az adatokat tizenhárom évig kell megőrizni, ebből nyolc évig „alvó adatbázisban”. — Az adatfeldolgozást a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről szóló tanácsi kerethatározat (tervezete) szabályozza (a továbbiakban: az adatvédelmi kerethatározat) (7). — A tagállamok képviselőiből álló bizottság nyújt majd segítséget az Európai Bizottságnak a protokollokat és a titkosítást érintő kérdésekben, valamint a kockázatértékeléssel kapcsolatos kritériumok és gyakorlat terén. — A határozatot a hatálybalépését követő három éven belül felül kell vizsgálni.

A vélemény központi kérdése

8. A javaslat, amelyről kikérték az adatvédelmi biztos véleményét, további lépést jelent az olyan személyekről való rutinszerű adatgyűjtés irányába, akiket elvileg nem gyanúsítanak semmiféle bűncselekmény elkövetésével. Ahogy fent említettük, mind nemzetközi, mind európai szinten ilyen irányú fejlemények figyelhetők meg.

9. Az európai adatvédelmi biztos tudomásul veszi, hogy a 29. cikk alapján létrehozott munkacsoport, valamint a rendőrségi és igazságügyi munkacsoport szintén benyújtott egy együttes véleményt a javaslatra vonatkozóan (8). Az európai adatvédelmi biztos támogatja az említett véleményt. Ez a vélemény kiemel és kifejt néhány további pontot.

10. Az európai adatvédelmi biztos véleménye ugyan a javaslat valamennyi lényeges vonatkozását elemzi, ugyanakkor négy fő kérdésre összpontosít. — Ezek közül az első a tervezett intézkedések jogszerűsége. A javaslat céljának, szükségességének és arányosságának elemzésére az Európai Unió Alapjogi Chartája 8. cikkében foglalt kritériumok fényében kerül sor. — A vélemény elemzi továbbá a javasolt adatfeldolgozási műveletre alkalmazandó jog kérdését. Elsősorban az adatvédelmi kerethatározat alkalmazási köre érdemel külön figyelmet az első pillér adatvédelmi jogszabályainak alkalmazásával összefüggésben. A vélemény megvizsgálja ezenkívül az alkalmazandó adatvédelmi rendszer következményét az adatalany jogainak gyakorlására. — A vélemény ezt követően az adatok nemzeti szintű címzettjeinek jellegével foglalkozik. Elsősorban a kockázatértékelés elkészítésére és az utasadatok elemzésére kijelölt, utasinformációkkal foglalkozó hatóságok, közvetítők és illetékes hatóságok jellege vet fel aggodalmakat, mivel a javaslat e tekintetben nem ad pontos iránymutatást. — A negyedik kérdés a harmadik országok részére történő adattovábbítás feltételeire vonatkozik. Nem egyértelmű, hogy milyen feltételek vonatkoznak az ilyen adattovábbításra, amelyre vonatkozóan különböző szabályok léteznek: a jelenlegi javaslatban foglalt adattovábbítási feltételek, az adatvédelmi kerethatározatban foglalt feltételek, valamint a meglévő nemzetközi megállapodások (az USA-val és Kanadával).

11. A vélemény utolsó része egyéb lényeges pontokra is kitér, többek között az adatvédelem terén tett pozitív előrelépésekre, illetve a javaslatban aggodalomra okot adó további elemekre is.

II. A JAVASOLT INTÉZKEDÉSEK JOGSZERŰSÉGE

12. Ahhoz, hogy elemezni lehessen a javasolt intézkedések jogszerűségét az alapvető adatvédelmi elvek szerint, nevezetesen az Európai Unió Alapjogi Chartájának 8. cikke és az Európa Tanács 108. egyezményének (9) 5–8. cikke fényében, világosan meg kell határozni a személyes adatok tervezett feldolgozásának célját, és fel kell mérni annak szükségességét és arányosságát. Garantálni kell azt, hogy nincs más olyan, kevésbé invazív eszköz, amellyel a tervezett cél elérhető lenne.

A cél meghatározása

13. A javaslat megfogalmazása és hatásvizsgálata azt jelzi, hogy a cél nem egyszerűen az ismert terroristák vagy a szervezett bűnözésben érintett ismert bűnözők beazonosítása azáltal, hogy nevüket összehasonlítják a bűnüldöző hatóságok által kezelt listákon szereplő nevekkel. A cél a terrorizmussal vagy a szervezett bűnözéssel kapcsolatos bűnüldözési operatív információk gyűjtése, konkrétabban „a személyekkel kapcsolatos kockázatértékelések végrehajtása, elemzési adatok gyűjtése, valamint az ismert és ismeretlen személyek közötti kapcsolatok feltérképezése” (10). A javaslat 3. cikkének (5) bekezdésében említett cél hasonlóképpen és elsősorban „a terrorista bűncselekményben vagy a szervezett bűnözés körébe tartozó bűncselekményben résztvevő vagy ezzel gyanúsítható személyek, illetve tettestársaik azonosítása”.

14. A javaslat ezt az okot hozza fel annak magyarázataként, hogy az API-adatok nem elegendők az állítólagos cél eléréséhez. Ahogy már említettük, míg az API-adatok a személyazonosítást hivatottak elősegíteni, addig a PNR-adatok célja nem a személyazonosítás, hanem azok részletei hozzájárulnának a személyekkel kapcsolatos kockázatértékelés végrehajtásához, bűnüldözési operatív információk szerzéséhez, valamint az ismert és ismeretlen személyek közötti kapcsolatok feltérképezéséhez.

15. A tervezett intézkedések célja nem pusztán az ismert személyek elfogására terjed ki, hanem azon személyek hollétének felderítésére is, akik a javaslat kritériumainak megfelelhetnek. E személyek azonosítása céljából a kockázatelemzés és a szokásminták meghatározása a projekt központi elemét képezi. A javaslat (9) preambulumbekezdése egyértelműen előírja, hogy „kellően hosszú megőrzési időszak álljon rendelkezésre az olyan célokra, mint a kockázati mutatók kidolgozása és az utazási, illetve magatartási szokásminták meghatározása”.

16. A cél tehát kétrétű: egyrészt a terrorizmus és a szervezett bűnözés elleni küzdelem globális célja, másrészt pedig az e cél eléréséhez szükséges eszközök és intézkedések meghatározása. Míg a terrorizmus és a szervezett bűnözés elleni küzdelem célja kellően egyértelműnek és jogszerűnek tűnik, az e cél eléréséhez használt eszközök vitathatók.

A szokásminták meghatározása és kockázatértékelés

17. A javaslat nem ad iránymutatást arra vonatkozóan, hogy mely módon állapítandók meg a szokásminták, és hogyan kell elvégezni a kockázatértékelést. A hatásvizsgálat a következő pontosítással szolgál a PNR-adatok felhasználási módja tekintetében: az utasadatok „tulajdonságok és viselkedésminták bizonyos kombinációjával való összevetése rizikóprofil felállítása céljából. Amennyiben valamely utas megfelel bizonyos rizikóprofilnak, veszélyes utasnak minősíthető” (11).

18. A gyanúsított személyek a PNR-adatok között található, gyanúra okot adó konkrét elemek alapján lennének kiválaszthatók (pl.: kapcsolat valamely gyanús utazási irodával, lopott hitelkártya száma), valamint „szokásminták” vagy absztrakt profil alapján. Az utazási szokások alapján különböző szabványprofilok állíthatók össze a „normál utasokra” és a „gyanús utasokra” vonatkozóan. Ezek a profilok lehetővé teszik azoknak az utasoknak a további vizsgálatát, akik nem tartoznak a„normál utas” kategóriába, főleg, ha profiljuk más gyanús elemekkel – mint például lopott hitelkártyával – is kapcsolatba hozható.

19. Habár nem feltételezhető, hogy az utasokat vallásuk vagy más, érzékeny adatok alapján szűrjék, úgy tűnik azonban, hogy konkrét és absztrakt információk együttese alapján válnának vizsgálat tárgyává, beleértve a szabványos szokásmintákat és az absztrakt profilokat.

20. Feltehető a kérdés, hogy az ilyen fajta vizsgálat profilalkotásnak (profiling) minősül-e. A profilalkotás „olyan számítógépes módszer, amely valamely adatraktárban adatbányászatot végez, és – bizonyos valószínűséggel, tehát bizonyos hibalehetőség mellett – lehetővé teszi, vagy lehetővé kívánja tenni egy személy besorolását valamely meghatározott kategóriába abból a célból, hogy az adott személyre vonatkozóan bizonyos egyéni döntéseket lehessen hozni” (12).

21. Az európai adatvédelmi biztos tudatában van annak, hogy még tárgyalják a profilalkotás meghatározását. Akár elismerik hivatalosan, akár nem, hogy a javaslat célja az utasokról való profilalkotás, a fő kérdés nem a fogalom meghatározása. A fő kérdés mindezeknek az egyes személyekre gyakorolt hatása.

22. Az európai adatvédelmi biztos fő aggálya azzal kapcsolatos, hogy az egyes személyekkel kapcsolatos döntéseket olyan minták és kritériumok alapján hozzák meg, amelyek az utasok összességének adataira épülnek. Így egy adott személyre vonatkozó döntések (legalábbis részben) más személyek adataiból nyert minták alapján lennének meghozhatók. Tehát a döntéseket elvont kontextusban hozzák meg, ami jelentős következményekkel járhat az adatalanyokra nézve. Rendkívül nehéz az egyén számára az ilyen döntésekkel szembeni védekezés.

23. Ezenkívül a kockázatértékelést a gyanúsítottak azonosítására vonatkozó egységes előírások nélkül végzik. Az európai adatvédelmi biztos erősen megkérdőjelezi az egész szűrési folyamat jogbiztonságát, tekintve, hogy nagyon felszínesen vannak meghatározva azok a kritériumok, amelyek alapján az utasokat megvizsgálják.

24. Az európai adatvédelmi biztos emlékeztet az Emberi Jogok Európai Bíróságának joggyakorlatára, amely szerint a nemzeti jognak kellően pontosan meg kell határoznia az állampolgárok számára, hogy a hatóságok milyen körülmények között és milyen feltételekkel kapnak felhatalmazást arra, hogy magánéletükről adatokat gyűjtsenek, és azokat felhasználják. Az érintett személy számára hozzáférést kell biztosítani az információkhoz, és ezek hatásainak előreláthatónak kell lennie. Az „előreláthatóság” azt jelenti, hogy „egy szabály kellő pontossággal van meghatározva ahhoz, hogy egy személy – szükség esetén a megfelelő tanácsokat követve – magatartását ennek megfelelően kiigazítsa” (13).

25. Összegezve elsősorban az ilyen fajta kockázatok miatt kell e javaslatot gondosan megvizsgálni. Míg az általános cél, azaz a terrorizmus és a szervezett bűnözés elleni küzdelem önmagában véve világos és jogszerű, a végrehajtandó adatfeldolgozás fő elemei nem tűnnek kellően körülhatároltnak és megindokoltnak. Ezért az európai adatvédelmi biztos sürgeti az uniós jogalkotót, hogy még a kerethatározat elfogadása előtt tisztázza ezt a kérdést.

A javaslat szükségessége

26. Ahogy ez a fentiekből egyértelműen kiderül, az intézkedések a magánéletbe való egyértelmű beavatkozást jelentenek. Ugyanakkor hasznuk messze nem bizonyított.

27. A javaslat hatásvizsgálata az uniós PNR-adatok létrehozásának legjobb módját, nem pedig ezeknek az adatoknak a szükségességét taglalja. A hatásvizsgálat (14) utal más országok – nevezetesen az USA és az Egyesült Királyság – már létező PNR-rendszereire. Sajnálatos módon azonban nem szolgál pontos tényekkel és számadatokkal e rendszereket illetően. Az Egyesült Királyság „szemaforrendszerében”„számos letartóztatásról” számoltak be „különböző bűncselekmények” tekintetében, azonban a szöveg nem pontosítja a terrorizmussal vagy a szervezett bűnözéssel való kapcsolatot. Az USA programját illetően sem szolgál részletekkel, kivéve, hogy „az EU képes elvégezni a PNR-adatok értékelemzését, és felmérni azok bűnüldözési célú hasznosítási lehetőségeit”.

28. Nemcsak a javaslatban hiányzik pontos információ az ilyen PNR-rendszerek konkrét eredményeire vonatkozóan, hanem az egyéb ügynökségek – pl. az egyesült államokbeli GAO – által kiadott jelentések sem erősítik meg egyelőre ezeknek az intézkedéseknek a hatékonyságát (15).

29. Az európai adatvédelmi biztos véleménye szerint további vizsgálatot igényelnek azok a technikák, amelyek az egyes személyek által jelentett kockázatokat adatbányászati eszközök és magatartási minták alkalmazásával értékelik, és egyértelműen meg kell állapítani, hogy hasznosak-e a terrorizmus elleni küzdelem keretében, mielőtt még ilyen széles körben kezdenék alkalmazni őket.

Arányosság

30. Az egyén magánéletébe való beavatkozás és az intézkedés szükségessége közötti egyensúly felméréséhez (16) az alábbi elemeket kell figyelembe venni: — Az intézkedéseket valamennyi utasra alkalmazzák, akár indítottak ellene nyomozást a bűnüldöző hatóságok, akár nem. Eddig nem látott méretű, proaktív vizsgálattal jár. — Az egyénekkel kapcsolatos határozatok absztrakt profilokon alapulhatnak, amivel jelentős hibalehetőségek társulnak. — Az egyénnel szembeni intézkedések jellege a bűnüldözéssel kapcsolatos: a magánéletbe való beavatkozás szempontjából komolyabbak a következmények a kizárást vagy a korlátozásokat illetően, mint más keretek között, például a hitelkártyával való visszaélések vagy a marketing esetén.

31. Az arányosság elvének való megfelelés nemcsak azt jelenti, hogy a javasolt intézkedés hatékony, hanem azt is, hogy a javaslat tervezett célja nem érhető el a magánéletbe való kevesebb beavatkozással járó eszközökkel. Nem bizonyított a tervezett intézkedések hatékonysága. Gondosan meg kell vizsgálni az alternatív lehetőségeket, mielőtt további/új intézkedéseket vezetnek be a személyes adatok feldolgozására. Az európai adatvédelmi biztos véleménye szerint ilyen átfogó vizsgálatra nem került sor.

32. Az európai adatvédelmi biztos emlékeztetni szeretne más olyan nagyméretű – már működő vagy megvalósítási szakaszban lévő – rendszerekre, amelyek a személyeknek az EU határain belüli vagy határain át való mozgását követik nyomon, többek között elsősorban a vízuminformációs rendszerre (17) és a Schengeni Információs Rendszerre (18). Habár ezeknek az eszközöknek az elsődleges célja nem a terrorizmus vagy a szervezett bűnözés elleni küzdelem, valamilyen mértékig hozzáférhetők vagy azok lesznek a bűnüldöző hatóságok számára a bűnözés elleni küzdelem tágabb keretei között (19).

33. Egy másik példa: a nemzeti rendőrségi adatbázisokban szereplő személyes adatoknak – különösen a biometrikus adatoknak – a rendelkezésre bocsátása a 2005 májusában aláírt prümi szerződés keretében, amelyet jelenleg terjesztenek ki az Európai Unió valamennyi tagállamára (20).

34. E különböző eszközök közös tulajdonsága, hogy bár különböző szempontokból, de lehetővé teszik a személyek mozgásának globális nyomon követését. Mélyreható és átfogó elemzést kellene készíteni arról, hogy ezek az eszközök hogyan járulhatnak hozzá a bűnözés – beleértve a terrorizmus – adott formái elleni küzdelemhez, mielőtt az EU területére repülőgépen érkező vagy onnan repülőgépen távozó valamennyi személy szisztematikus vizsgálata új formájának bevezetéséről döntenének. Az európai adatvédelmi biztos azt javasolja, hogy a Bizottság a jogalkotási eljárás szükséges lépéseként végezzen ilyen elemzést.

Összegzés

35. Az eddig említettek fényében az európai adatvédelmi biztos a következő következtetéseket vonja le a javasolt intézkedések jogszerűsége tekintetében: a különböző adatbázisokra építés anélkül, hogy globális áttekintéssel rendelkeznénk a konkrét eredményeket és hiányosságokat tekintve: — ellentétes a racionális jogalkotási politikával, amelynek keretében nem szabad új jogi eszközöket elfogadni azt megelőzően, hogy a már meglévőket teljes mértékben végre ne hajtották volna, és bebizonyosodott volna azok elégtelen volta (21), — és a teljesen „bekamerázott” társadalom felé vezető lépést jelenthet.

36. A terrorizmus elleni küzdelem természetesen jogszerű oka lehet a magánélethez kapcsolódó alapvető jogok és az adatvédelem területén bizonyos kivételek alkalmazásának. Ugyanakkor ennek létjogosultságához világos és vitathatatlan elemekkel kell alátámasztani a magánéletbe való beavatkozást, és bizonyítani kell a feldolgozás arányosságát. Erre még inkább szükség van abban az esetben, ha – mint a javaslatban tervezettek szerint – jelentős mértékben beavatkoznak az egyén magánéletébe.

37. Meg kell jegyezni, hogy ezek az alátámasztó elemek hiányoznak a javaslatból, és a javaslat nem teljesíti a szükségesség és arányosság követelményeit.

38. Az európai adatvédelmi biztos hangsúlyozza a szükségesség és arányosság fent említett kritériumai teljesítésének elengedhetetlen fontosságát. Ezek elengedhetetlen feltételei e javaslat hatálybalépésének. Az európai adatvédelmi biztos e véleményben szereplő további észrevételeit mind ennek az előfeltételnek a fényében kell értelmezni.

III. ALKALMAZANDÓ JOG – AZ ADATALANYI JOGOK GYAKORLÁSA

Alkalmazandó jog

39. Az alábbi elemzés három pontra összpontosít: — az egyes szakaszokban alkalmazandó jog meghatározása céljából a javaslatban előírt feldolgozás különböző lépéseinek leírása, — a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről szóló tanácsi kerethatározati javaslat korlátozásai a hatály és az adatalany jogai vonatkozásában, — a harmadik pillérbe tartozó eszköznek a magánszféra első pillér keretében adatfeldolgozást végző szereplőire való alkalmazandósága mértékének általánosabb elemzése.

A feldolgozás különböző lépései során alkalmazandó jog

40. A javaslat 11. cikk kimondja, hogy „a tagállamok biztosítják, hogy a személyes adatok e kerethatározat szerinti feldolgozására a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről szóló (…) tanácsi kerethatározatot alkalmazzák.”

41. E rendelkezés ellenére azonban nem egyértelmű, hogy az adatvédelmi kerethatározat, amely az EU-Szerződés harmadik pillérébe tartozó eszköz, milyen mértékben alkalmazandó a légitársaságok által feldolgozott, az utasinformációkkal foglalkozó hatóság által begyűjtött és más illetékes hatóságok által felhasznált adatokra.

42. A személyes adatok feldolgozásának a javaslatban előírt első lépése azon légitársaságok általi feldolgozás, amelyek kötelesek a PNR-adatokat rendelkezésre bocsátani – elvben átadási rendszer felhasználásával – az utasinformációkkal foglalkozó nemzeti hatóságok számára. A javaslat és a hatásvizsgálat (22) megfogalmazásából kitűnik, hogy az adatokat a légitársaságok ömlesztve is átadhatnák a közvetítőknek. A légitársaságok elsődlegesen a kereskedelmi környezetben működnek, és a 95/46/EK irányelvet (23) végrehajtó nemzeti jogszabályok vonatkoznak rájuk. Az alkalmazandó joggal kapcsolatos kérdések akkor merülnek fel, amikor az összegyűjtött adatokat bűnüldözési célokra használják (24).

43. Az adatokat ekkor közvetítő szűrné meg (a formázás és a javaslatban előírt adatokat tartalmazó jegyzékben nem szereplő PNR-adatok kizárása érdekében) vagy közvetlenül az utasinformációkkal foglalkozó hatóság kapná az adatokat. A közvetítők a magánszféra szereplői is lehetnének, mint a SITA esetében, amely ebben az értelemben a Kanadával kötött PNR-megállapodás keretében működik.

44. Az utasinformációkkal foglalkozó hatóságokat illetően, amelyek felelősek az adatok teljességének kockázatelemzéséért, nem egyértelmű, hogy ki felelős a feldolgozásért. A vám- és a határőrizeti hatóságokat be lehet vonni, a bűnüldöző hatóságok bevonása nem szükségszerű.

45. A „szűrt” adatoknak az „illetékes” hatóságokhoz történő továbbítása valószínűleg bűnüldözési összefüggésben történne. A javaslat kimondja, hogy: „Ennek során az illetékes hatóságok kizárólag a terrorista bűncselekmények és a szervezett bűnözés megelőzésével és az ezekkel szembeni küzdelemmel megbízott hatóságokat neveznek meg.”

46. A feldolgozás lépései során a részt vevő szereplők és a kitűzött cél szorosabb kapcsolatban áll a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködéssel. A javaslat azonban nem említi kifejezetten azt, hogy az adatvédelmi kerethatározatot pontosan mikor kell alkalmazni. A megfogalmazás még inkább azt sejtetné, hogy az a feldolgozás egésze alatt még a légitársaságokra is alkalmazandó (25). Az adatvédelmi kerethatározat azonban önmagában tartalmaz korlátozásokat.

47. Az európai adatvédelmi biztos ebben az összefüggésben alapjában megkérdőjelezi azt a tényt, hogy az EU-Szerződés VI. címe a magánszféra szereplői tekintetében a rendszeres alapú jogi kötelezettségek és a bűnüldözési célkitűzések jogalapjául szolgálhat-e. Emellett az a kérdés is releváns, hogy az EU-Szerződés VI. címe szolgálhat-e jogalapul a hatóságok azon jogi kötelezettségei számára, amelyek elvben a bűnüldözési együttműködésről szóló kerethatározaton kívül esnek. Ez a vélemény e kérdésekkel nagyobb mélységekben foglalkozik a továbbiakban.

Az adatvédelmi kerethatározat korlátozásai

48. A büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről szóló tanácsi kerethatározati javaslat szövege a hatály tekintetében legalább két korlátozást tartalmaz.

49. Először az adatvédelmi kerethatározat hatályát maga a kerethatározat megfelelően meghatározza. A kerethatározat „kizárólag a bűncselekmények megelőzése, kivizsgálása, felderítése, büntetőeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából az illetékes hatóságok által gyűjtött vagy feldolgozott adatokra alkalmazandó (26).”

50. Másodszor az adatvédelmi kerethatározat a pusztán belföldi feldolgozású adatokra nem alkalmazandó, hanem csak a tagállamok között kicserélt és harmadik országoknak továbbított adatokra korlátozódik (27).

51. Az adatvédelmi kerethatározatot továbbá a 95/46/EK irányelvhez képest hiányosságok – különösen a cél körülhatárolása elve alóli kivételek széles köre – jellemzik. A cél körülhatárolása elvének tekintetében a javaslat a feldolgozás célját a terrorizmus és a szervezett bűnözés elleni küzdelemre korlátozza. Az adatvédelmi kerethatározat azonban a célok szélesebb köre számára teszi lehetővé az adatfeldolgozást. Ebben az esetben a különös szabályok (javaslat) irányadóak az általános szabályokkal szemben (adatvédelmi kerethatározat) (28). Ezt a javaslat szövegében pontosítani kell.

52. Az európai adatvédelmi biztos ennélfogva az alábbi rendelkezés javaslatba illesztését javasolja: „A légitársaságok által az e kerethatározat értelmében átadott személyes adatokat nem lehet a terrorizmus és a szervezett bűnözés elleni küzdelemtől eltérő célok érdekében feldolgozni. A büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről szóló tanácsi kerethatározatban a cél körülhatárolása elvének tekintetében előírt kivételek nem alkalmazandók.”

53. Az európai adatvédelmi biztos azt a következtetést vonja le, hogy a projektben részt vevő különböző szereplőkre – különösen a légitársaságokra és egyéb első pillérbeli szereplőkre – alkalmazandó adatvédelmi rendszer tekintetében a jogbiztonság súlyos hiánya állapítható meg legyen szó akár a javaslatban szereplő szabályokról, az adatvédelmi kerethatározatban szereplő szabályokról vagy a 95/46/EK irányelvet végrehajtó nemzeti jogszabályokról. A jogalkotónak egyértelműen meg kell határoznia, hogy e különböző szabályok az adatfeldolgozásnak pontosan mely pillanatában alkalmazandóak.

Az első és a harmadik pillérbeli szabályok alkalmazásának feltételei

54. Az európai adatvédelmi biztos alapjában megkérdőjelezi azt, hogy egy harmadik pillérbe tartozó eszköz jogalapot teremthet a rendszeres alapú jogi kötelezettségek vagy a bűnüldözési célok tekintetében olyan magán- vagy közszektorbeli szereplők számára, amelyek elvben nem tartoznak a bűnüldözési együttműködés keretébe.

55. Ezt a helyzetet össze lehetne vetni két olyan másik esettel, amikor a magánszféra bekapcsolódott a bűnüldözési vetülettel rendelkező adatmegőrzésbe és -átadásba. — Az US–PNR ügy, amelyben előírták a PNR-adatoknak a légitársaságok részéről a bűnüldözési hatóságok számára történő rendszeres átadását. A Bíróság PNR-ügyben hozott ítélete kizárta a közösségi hatáskört a PNR-megállapodások megkötésére. Az egyik indokolás értelmében a PNR-adatok CBP részére történő továbbítása a közbiztonsággal és a büntetőjog területén végzett állami tevékenységekkel kapcsolatos adatfeldolgozásnak minősül (29). Ebben az esetben az adatfeldolgozási művelet a CPB részére történő rendszeres adatátadás volt, amely a következő esettől különbözik: — Az elektronikus hírközlési szolgáltatók általi általános adatmegőrzés. Az említett adatmegőrzési időszak létrehozására irányuló közösségi hatáskör tekintetében különbség állapítható meg az USA–PNR üggyel szemben, figyelembe véve azt, hogy a 2006/24/EK irányelv (30) csak szolgáltatók ellenőrzése alatt maradó adatok vonatkozásában ír elő adatmegőrzési kötelezettséget. Nincs szó a bűnüldözési hatóságok részére való rendszeres adatátadásról. Megállapítható az, hogy amennyiben az adatok a szolgáltatók ellenőrzése alatt maradnak, e szolgáltatók is felelősek maradnak az adatalannyal szembeni adatvédelmi kötelezettségek tekintetében.

56. A PNR-re vonatkozó jelenlegi uniós javaslatban a légitársaságoknak valamennyi utas PNR-adatait rendszerességgel rendelkezésre kell bocsátaniuk. Ezeket az adatokat azonban nem egy az egyben közvetlenül továbbítják a bűnüldözési hatásoknak, közvetítőnek lehet továbbítani őket, és tisztázatlan jogállású harmadik fél értékeli őket, mielőtt a kiválasztott adatokat az illetékes hatóságoknak megküldik.

57. Az adatfeldolgozás legfőbb része szürke zónában történik, az első és a harmadik pillérhez egyaránt lényeges szempontból kapcsolódva. Amint az a IV. fejezetben kidolgozásra kerül, az adatokat feldolgozó szereplők nem kerülnek nyíltan azonosításra. A légitársaságok nyilvánvalóan nem bűnüldöző hatóságok, és a közvetítők lehetnek a magánszféra szereplői. Még az utasinformációkkal foglalkozó nemzeti szervek tekintetében is, amelyek hatóságok lennének, hangsúlyozni kell, hogy nem minden hatóság van olyan minőségben és rendelkezik olyan hatáskörrel, amely alapján rendszeres alapon bűnüldözési feladatokat láthatna el.

58. Hagyományosan élesen elválnak a bűnüldözési és a magánszférabeli tevékenységek, amennyiben a bűnüldözési feladatokat külön e célra létrehozott hatóságok – különösen a rendőrség –látják el, és a magánszféra szereplőit eseti alapon kérik fel a személyes adatoknak e bűnüldözési hatóságok felé való továbbítására. Egy jelenlegi tendencia, amely alapján a bűnüldözési célzatú rendszeres alapú együttműködést a magánszféra szereplőire is kiterjesztik, felveti annak kérdését, hogy mely adatvédelmi kerethatározat (az első vagy a harmadik pillérre vonatkozó) alkalmazandó ezen együttműködés feltételeire: vajon a szabályokat az adatellenőr jellegére (magánszféra) vagy a kitűzött célra (bűnüldözés) kell alapozni?

59. Az európai adatvédelmi biztos már emlékeztetett az első és a harmadik pillér közötti joghézagok kockázatára (31). Valójában távolról sem egyértelmű, hogy a magánvállalkozásoknak a bűnüldözéshez valamilyen módon kötődően végzett tevékenységeit az EUSz. 30., 31. és 34. cikke alapján az Európai Unió jogalkotójának tevékenységi területe magában foglalja-e.

60. Amennyiben az általános (első pillér) keret nem alkalmazandó, a szolgáltatónak az adatbázisán belül nehéz különbségtételeket kellene alkalmaznia. A jelenlegi rendszer alapján egyértelmű, hogy az adatellenőrnek az adatalanyokkal szemben azonos mértékben fennálló adatvédelmet kell tiszteletben tartania, tekintet nélkül az adatmegőrzést indokoló célokra. Ennélfogva el kell kerülni annak kialakulását, hogy a szolgáltatók által különböző célokból végzett adatfeldolgozás különböző adatvédelmi keretekbe tartozzon.

Az adatalanyi jogok gyakorlása

61. A nemzeti szinten alkalmazandó különböző jogi rendszerek jelentős hatással bírnak elsősorban is az adatalany jogainak gyakorlására.

62. A javaslat preambuluma kimondja, hogy a tájékoztatásoz való jogot, a hozzáférési jogot, a helyesbítésre, törlésre és a törlésre vonatkozó jogot, valamint a kártérítéshez és a jogorvoslati szankciókhoz való jogot az adatvédelmi kerethatározat alapján kell biztosítani. Ez az állítás azonban nem válaszolja meg annak kérdését, hogy ki az adatalany kérelmére való válaszadásért felelős adatellenőr.

63. Míg az adatfeldolgozással kapcsolatos információt megküldhetik a légitársaságok, a kérdés összetettebbé válik, amikor az adatokhoz való hozzáférésről vagy azok helyesbítéséről van szó. Az adatvédelmi kerethatározat alapján e jogok valójában korlátozás alá esnek. A fentiek értelmében kétséges, hogy a légitársasághoz hasonló szolgáltatót lehet-e arra kötelezni, hogy megkülönböztetett hozzáférési és helyesbítési jogokat adjon az általa tárolt adatokhoz, a kitűzött (kereskedelmi vagy bűnüldözési) céltól függően. Azzal lehet érvelni, hogy e jogokat az utasinformációkkal foglalkozó hatóság vagy egyéb kijelölt illetékes hatóság előtt lehet érvényesíteni. A javaslat azonban nem ad e tekintetben további útmutatást, és a már említettek értelmében nem egyértelmű emellett az sem, hogy e hatóságok (legalábbis az utasinformációkkal foglalkozó hatóságok) lesznek-e a korlátozott (esetleg közvetlen) hozzáférési eljárásokkal rendesen megbízott bűnüldöző hatóságok.

64. Ami az utasinformációkkal foglalkozó hatóságokat illeti, az egyén emellett kockáztatja az adatok különböző címzettjeivel való szembesülést is: az adatokat a járatindulási/-érkezési országok utasinformációkkal foglalkozó hatóságai számára továbbítják, azonban esetlegesen eseti alapon más tagállamok utasinformációkkal foglalkozó hatóságai számára is. Lehetséges továbbá az, hogy számos tagállam egyetlen közös, utasinformációkkal foglalkozó hatóságot hoz létre vagy jelöl ki. Az adatalanynak ebben az esetben esetleg egy másik tagállam hatósága előtt kell jogorvoslatot szereznie. Itt ismét nem egyértelmű, hogy alkalmazandók-e a nemzeti adatvédelmi szabályok (ezeket az EU-n belül harmonizálni kell), vagy figyelembe kell-e venni külön bűnüldözési jogszabályokat (a harmadik pilléren belüli átfogó, nemzeti szintű harmonizáció hiánya következtében).

65. A tisztázatlan jogállású közvetítők és az EU különböző országaiban működő légitársaságok által feldolgozott adatokhoz való hozzáférés tekintetében a kérdés azonos.

66. Az európai adatvédelmi biztos helyteleníti azt a bizonytalanságot, amely az adatalany ezen alapvető jogai gyakorlása tekintetében fennmaradt. Hangsúlyozza, hogy ezt a helyzetet főként az okozza, hogy olyan szereplők kapják e feladatokat, amelyeknek nem fő feladata a bűnüldözés.

Összegzés

67. Az európai adatvédelmi biztos úgy ítéli meg, hogy a javaslatnak pontosítania kell, hogy az adatfeldolgozás mely szakaszában mely jogi rendszer alkalmazandó, és meg kell határoznia, mely szereplő vagy hatóság előtt kell a hozzáférést vagy a jogorvoslatot érvényesíteni. Az európai adatvédelmi biztos emlékeztet arra, hogy az EUSz. 30. cikke (1) bekezdésének b) pontja értelmében az adatvédelmi rendelkezéseknek megfelelőeknek kell lenniük, és a javaslatban meghatározott adatfeldolgozási műveletek teljes skáláját szabályozniuk kell. Az adatvédelmi kerethatározatra történő egyszerű hivatkozás nem elegendő, a kerethatározat korlátozott hatálya következtében, valamint a kerethatározatban szereplő jogi korlátozások miatt. Ami a bűnüldöző hatóságok szerepét illeti, az adatvédelmi kerethatározat szabályai legalább a javaslatban előírt teljes adatfeldolgozásra alkalmazandóak, az adatvédelmi elvek alkalmazása koherenciájának szavatolása érdekében.

IV. A CÍMZETTEK JELLEGE

68. A javaslatnak rendelkeznie kell a légitársaságok által gyűjtött személyes adatok címzettjeinek jellege tekintetében, legyenek azok közvetítők, utasinformációkkal foglalkozó hatóságok vagy illetékes hatóságok. Hangsúlyozni kell, hogy a címzett jellege közvetlen kapcsolatban áll a címzettre alkalmazandó adatvédelmi garanciák típusával. A különösen az első és a harmadik pillérbeli szabályok révén biztosított garanciák közötti különbség már említésre került. Alapvető fontosságú, hogy az alkalmazandó rendszer valamennyi érintett szereplő – beleértve a nemzeti kormányokat, a bűnüldöző hatóságokat, az adatvédelmi hatóságokat, valamint az adatellenőröket és az érintett adatalanyokat – számára pontosan meghatározott legyen.

Közvetítők

69. A közvetítők jellege tekintetében a javaslat nem tartalmaz meghatározást (32). A közvetítők adatellenőri vagy adatfeldolgozó szerepe sem kerül pontosításra. A tapasztalat azt mutatja, hogy egy magánszférabeli jogalanyt – legyen az számítógépes helyfoglalási rendszer vagy egyéb – teljes mértékben meg lehet bízni a PNR-adatoknak közvetlenül a légitársaságoktól való begyűjtésével és azoknak az utasinformációkkal foglalkozó hatóságokhoz való továbbításával. Valójában ezen a módon folyik az adatfeldolgozás a Kanadával kötött PNR-megállapodás értelmében is. A SITA (33) az adatfeldolgozásért felelős vállalat. A közvetítő szerepe meghatározó, mivel ő lehet felelős a légitársaságok által ömlesztve átadott adatok szűréséért/újraformázásáért (34). Még abban az esetben is, ha a közvetítők kötelesek a feldolgozott adatokat megsemmisíteni azoknak az utasinformációkkal foglalkozó hatóságok részére való továbbítását követően, maga az adatfeldolgozás rendkívül érzékeny. a közvetítők beavatkozásának következménye a további adatbázis létrehozatala, amely nagymennyiségű adatot tartalmaz, és a javaslat szerint még érzékeny adatokat is (a közvetítők ezt követően kötelesek ezen érzékeny adatokat törölni). Emiatt az európai adatvédelmi biztos azt ajánlja, hogy az utasinformációk feldolgozásában ne vegyenek részt közvetítők, kivéve ha jellegük és feladataik pontosan meg vannak határozva.

Utasinformációkkal foglalkozó hatóságok

70. Az utasinformációkkal foglalkozó hatóságoknak meghatározó szerepe van az olyan személyek azonosításában, akik terrorizmusban és szervezett bűnözésben vesznek részt vagy azokhoz kapcsolódnak. A javaslat szerint e hatóságok lesznek felelősek a kockázati mutatók létrehozataláért és az utazási szokásokra vonatkozó bűnüldözési információk nyújtásáért (35). Amennyiben a kockázatértékelés az egységesített utazási szokásokon alapul, és nem a konkrét esethez kapcsolódó tárgyi bizonyítékon, az értékelést proaktív vizsgálatnak lehet tekinteni. Az európai adatvédelmi biztos hangsúlyozza, hogy az e fajta adatfeldolgozást elvben szigorúan a tagállami jogszabályok szabályozzák (ha nem betiltott), és az meghatározott hatóságok feladata, amelyek működése szintén szigorúan szabályozott.

71. Az utasinformációkkal foglalkozó hatóságok ennélfogva meg vannak bízva az érzékeny adatok feldolgozásával, anélkül, hogy a javaslat hatóságok jellegére vagy az említett hatáskör gyakorlásának feltételeire vonatkozóan bármely információt nyújtana. Annak ellenére, hogy valószínűleg ezt a feladatot kormányzati szerv látja el, esetleg vám- vagy határellenőrzési hatóság, a javaslat nem akadályozza meg kifejezetten azt, hogy a tagállamok hírszerző ügynökségeket bízzanak meg ennek végrehajtásával. Az európai adatvédelmi biztos hangsúlyozza, hogy a hírszerző ügynökségekre vonatkozó átláthatóság és garanciák nem mindig azonosak a hagyományos bűnüldöző hatóságokra alkalmazandóakkal. Az utasinformációkkal foglalkozó hatóságok jellegére vonatkozó adatok meghatározóak, mivel közvetlen hatással lesznek az alkalmazandó jogi keretre és a felügyelet feltételeire. Az európai adatvédelmi biztos megítélése szerint a javaslatnak tartalmaznia kell egy további rendelkezést, amely az utasinformációkkal foglalkozó hatóságok sajátosságait részletezi.

Illetékes hatóságok

72. A javaslat 4. cikkéből kitűnik, hogy a terroristacselekmények és a szervezett bűnözés megelőzéséért vagy az ellene folytatott küzdelemért felelős bármely hatóság hozzáférhet az adatokhoz. Míg a cél pontosan meghatározott, a hatóság jellege hiányzik. A javaslat nem írja elő a címzetteknek a bűnüldöző hatóságokra való korlátozását. A fentiekben említettek szerint az utasinformációkkal foglalkozó hatóságok tekintetében meghatározó, hogy a szóbanforgó különleges adatok feldolgozása egyértelmű jogi keretek között történjen. Ez sokkal inkább jellemzi pl. a bűnüldöző hatóságokat mint a hírszerző ügynökségeket. A javaslatban szereplő adatgyűjtő elemek és proaktív kutatás figyelembevételével nem lehet kizárni azt, hogy az ilyen hírszerző ügynökségek bekapcsolódjanak az adatfeldolgozásba, más típusú hatóságok kizárása nélkül.

Összegzés

73. Általános megjegyzésként az európai adatvédelmi biztos megállapítja, hogy az uniós PNR-rendszer megvalósítását még nehezebbé teszi az, hogy a bűnüldöző hatóságoknak különböző hatáskörei vannak a tagállamok nemzeti jogától függően, amelybe a hírszerzés, az adózás, a bevándorlás és a rendőrség egyes esetekben beletartozik, más esetekben nem. Ez azonban újabb indok arra, hogy a javaslat legyen sokkal pontosabb az említett szereplők jellege és a feladataik teljesítése ellenőrzésére vonatkozó garanciák tekintetében. A javaslatba további rendelkezéseket kell beépíteni a közvetítők, az utasinformációkkal foglalkozó hatóságok és más illetékes hatóságok hatáskörének és jogi kötelezettségeinek pontos meghatározása érdekében.

V. A HARMADIK ORSZÁGOKBA IRÁNYULÓ TOVÁBBÍTÁS FELTÉTELEI

74. A javaslat a PNR-adatok harmadik országokba irányuló továbbítása vonatkozásában biztosítékokat határoz meg (36). Különösen az adatvédelmi kerethatározatnak az adattovábbításra való alkalmazását írja elő, a cél külön korlátozását írja elő, és kimondja, hogy a tagállam beleegyezése szükséges a továbbításhoz. Az átadásnak meg kell felelnie az érintett tagállam nemzeti jogszabályainak, valamint minden alkalmazandó nemzetközi megállapodásnak.

75. Számos kérdés marad azonban különösen a beleegyezés jellege, az adatvédelmi kerethatározat alkalmazási feltételei és a harmadik országok felé történő adattovábbítás során a „kölcsönösség” kérdésének tekintetben.

A beleegyezés jellege

76. A származás szerinti tagállamnak kifejezett beleegyezését kell adnia valamely harmadik országból egy újabb harmadik országba való átadáshoz. A javaslat nem határozza meg, hogy milyen feltételekkel és kin keresztül kell megadni ezt a beleegyezést, valamint hogy a nemzeti adatvédelmi hatóságokat e határozatba be kell-e vonni. Az európai adatvédelmi biztos úgy ítéli meg, hogy a belelegyezés megadási módjának meg kell felelnie legalább a személyes adatok harmadik országoknak való továbbításának feltételeit meghatározó nemzeti jogszabályoknak.

77. Emellett valamely tagállam beleegyezése nem irányadó azzal az elvvel szemben, hogy a címzett országnak megfelelő szintű adatvédelmet kell biztosítania a tervezett adatfeldolgozáshoz. E feltételeknek együttesen kell eleget tenni, mivel az adatvédelmi kerethatározatban szerepelnek (14. cikk). Ennélfogva az európai adatvédelmi biztos javasolja a 8. cikk (1) bekezdésébe c) pont illesztését, amely szerint „és c) a harmadik állam megfelelő szintű adatvédelmet biztosít a tervezett adatfeldolgozáshoz.” Az európai adatvédelmi biztos ebben a tekintetben emlékeztet arra, hogy a megfelelőség tekintetében közös előírásokat és összehangolt határozatokat biztosító mechanizmusokat kell kialakítani (37).

Az adatvédelmi kerethatározat alkalmazása

78. A javaslat az adatvédelmi kerethatározatban szereplő feltételekre és biztosítékokra hivatkozik, ezzel egyidejűleg pontosan meghatároz feltételeket, különösen az érintett tagállam említett beleegyezését és a célnak a terrortámadások és a szervezett bűnözés megelőzése és az azok elleni küzdelemre való korlátozását.

79. Az adatvédelmi határozat maga rendelkezik a személyes adatok harmadik országokba való továbbításának feltételeiről, nevezetesen a cél körülhatárolása, a címzettek jellege, a tagállam beleegyezése és a megfelelőség elve tekintetében. Emellett azonban a továbbítás e feltételei alóli mentességet is előirányoz: jogos, magasabb érdekek, különösen fontos közérdek lehet a továbbítás elégséges alapja abban az esetben is, ha a fent felsorolt feltételek nem teljesülnek.

80. Amint erre a vélemény III. fejezete már kitért, az európai adatvédelmi biztos véleménye szerint a javaslat szövegében világosan ki kell fejezni, hogy adott esetben az adatvédelmi kerethatározat általános feltételeivel – és kivételeivel – szemben a javaslat konkrétabb biztosítékai érvényesülnek.

Viszonosság

81. A javaslat foglalkozik az olyan országok lehetséges „viszonzási kérelmeinek” kérdésével, amelyek esetlegesen hozzáférést kérnek az EU-tól az EU-ból a területükre közlekedő járatokkal kapcsolatos PNR-adatokhoz. Amennyiben az EU hozzáférést kér az ilyen harmadik országok légitársaságainak adatbázisaiban tárolt adatokhoz azzal az indokkal, hogy ezen légitársaságok járatot üzemeltetnek az EU területére vagy területéről, az érintett harmadik ország ugyanilyen kérelemmel élhetne az EU-ban letelepedett légitársaságok felé, többek között uniós állampolgárok adataira vonatkozóan is. Bár a Bizottság ezt a lehetőséget „nagyon távolinak” tartja, nem zárja ki. A javaslat e tekintetben utal arra, hogy az USA-val, illetve Kanadával kötött megállapodás előírja ezt a típusú, „automatikusan igénybe vehető” viszonosságot (38). Az európai adatvédelmi biztos kérdésesnek tartja az ilyen automatikus viszonosság jelentőségét és a biztosítékok ilyen adattovábbításokra való alkalmazását, különösen figyelembe véve az érintett országban meglevő megfelelő védelmi szintet.

82. Különbséget kell tenni azon harmadik államok között, amelyek az EU-val már kötöttek megállapodást, illetve azon országok között, amelyek ilyen megállapodással nem rendelkeznek.

EU-val kötött megállapodással nem rendelkező országok

83. Az európai adatvédelmi biztos megjegyzi, hogy a viszonosság eredményezheti személyes adatok olyan országok részére való továbbítását, ahol nincsenek meg a demokratikus normák és az adatvédelem megfelelő szintjének biztosítékai.

84. A hatásvizsgálat további elemekkel szolgál a harmadik országok részére történő adattovábbítás feltételei tekintetében: hangsúlyozza az uniós PNR-rendszer előnyét, amelyben az adatszűrést az utasinformációkkal foglalkozó hatóságok (PIU-k) végzik. A tagállamok illetékes hatóságai részére és vélhetően a harmadik országok részére egyaránt kizárólag a gyanúsított egyének kiválasztott adatait (és nem ömlesztett adatokat) továbbítanák (39). Az európai adatvédelmi biztos javasolja e pont egyértelművé tételét a javaslat szövegében. A hatásvizsgálatban megfogalmazott egyszerű nyilatkozat nem biztosítja a szükséges védelmet.

85. Bár az adatok kiválasztása hozzájárulna az utasok magánéletére gyakorolt hatások minimálisra csökkentéséhez, emlékeztetni kell arra, hogy az adatvédelmi elvek jócskán túllépnek az adatminimalizálás követelményén, magukban foglalva a szükségesség, az átláthatóság, valamint az adatalanyi jogok gyakorlásának elveit, amelyek elvek mindegyikét figyelembe kell venni annak meghatározásakor, hogy egy adott harmadik ország vajon megfelelő védelmi szintet biztosít-e.

Az EU-val kötött kétoldalú megállapodással rendelkező országok

86. A hatásvizsgálat rámutat, hogy az ilyen feldolgozás lehetővé fogja tenni az EU számára, hogy „ragaszkodhasson bizonyos normákhoz, és biztosíthassa a harmadik országokkal kötött ilyen kétoldalú megállapodások következetességét. Lehetővé fogja tenni ezenfelül, hogy azon harmadik országoktól, amelyekkel megállapodást kötött, az EU viszonosságot kérjen, ami ma még nem lehetséges” (40).

87. Mindezekből következően felmerül a kérdés, hogy vajon milyen hatással van a javaslat a Kanadával és az USA-val fennálló jelenlegi megállapodásokra. Az adatokhoz való hozzáférés feltételei ezekben a megállapodásokban jóval rugalmasabbak, mivel az adatokat a harmadik országok számára való továbbításuk előtt nem kell a fentiekhez hasonlóan megszűrni.

88. A hatásvizsgálat rámutat, hogy „azokban az esetekben, amikor az EU és valamely harmadik ország között nemzetközi megállapodás van érvényben a PNR-adatok cseréjére/az adott harmadik ország részére történő továbbítására vonatkozóan, az ilyen megállapodásokat kellően figyelembe kell venni. A légi fuvarozóknak a jelenlegi intézkedés rendes gyakorlata szerint kell a PNR-adatokat az utasinformációkkal foglalkozó hatóság részére elküldeniük. Az ilyen adatokat kézhez kapó utasinformációkkal foglalkozó hatóság továbbítja azokat azon harmadik ország illetékes hatóságának, amellyel a megállapodás fennáll” (41).

89. Egyrészről úgy tűnik, a javaslat kizárólag kiválasztott adatok továbbítását célozza, történjen az akár az EU-n belül, akár az azon kívül található illetékes hatóságok részére, másrészről ugyanakkor a hatásvizsgálat, a javaslat preambuluma (a (21) preambulumbekezdés) és maga a 11. cikk is arra emlékeztet, hogy a meglevő megállapodásokat kellően figyelembe kell venni. Ez azt a következtetést engedi levonni, hogy az adatszűrés kizárólag a jövőben megkötendő megállapodásokra érvényes intézkedés lehet. E tekintetben előrejelezhető, hogy például az egyesült államokbeli hatóságok PNR-adatokhoz való hozzáférésére továbbra is az ömlesztett hozzáférés lesz irányadó, az EU-USA megállapodások rendelkezéseinek megfelelően, ugyanakkor ezzel párhuzamosan és egyedi alapon előfordulhat az utasinformációkkal foglalkozó hatóságok által azonosított konkrét adatok továbbítása is az USA felé, ami kiterjedhet, de nincs korlátozva az USA felé közlekedő járatokkal kapcsolatos adatokra.

90. Az európai adatvédelmi biztos sajnálatát fejezi ki amiatt, hogy a javaslat e meghatározó pontja nem elég egyértelmű. Alapvető fontosságúnak tartja, hogy a PNR-adatok harmadik országok részére történő továbbításának feltételei következetesek legyenek, és összehangolt szintű védelem alá tartozzanak. Mindemellett a jogbiztonság érdekében az adatok továbbítására vonatkozó biztosítékok pontos meghatározását magának a javaslatnak is tartalmaznia kellene, nem csupán a hatásvizsgálatnak, ami a jelenlegi helyzet.

VI. EGYÉB LÉNYEGES PONTOK

Automatizált feldolgozás

91. Az európai adatvédelmi biztos megjegyzi, hogy a javaslat kifejezetten kizárja annak lehetőségét, hogy tagállamok utasinformációkkal foglalkozó hatóságai, valamint illetékes hatóságai végrehajtási intézkedéseket hozzanak pusztán a PNR-adatok automatizált feldolgozása alapján vagy valamely személy faji vagy etnikai hovatartozása, vallási vagy világnézeti meggyőződése, politikai véleménye vagy szexuális irányultsága alapján (42).

92. Az ilyen pontosság azért örvendetes, mert korlátozza az egyénekkel szembeni önkényes intézkedések kockázatát. Az európai adatvédelmi biztos ugyanakkor megjegyzi, hogy ez kizárólag az utasinformációkkal foglalkozó hatóságok vagy illetékes hatóságok általi végrehajtási intézkedésekre korlátozódik. Jelenlegi megszövegezésében a javaslat nem zárja ki az egyének szabványprofilok szerinti automatikus szűrését, és nem tiltja meg a gyanúsított személyek jegyzékeinek automatikus létrehozását, valamint a kiterjedt felügyelethez hasonló intézkedések meghozatalát, amennyiben ezek nem minősülnek végrehajtási intézkedésnek.

93. Az európai adatvédelmi biztos úgy véli, hogy a végrehajtási intézkedések fogalma nagyon tág, és elvként kellene meghatározni, hogy kizárólag adatai automatizált feldolgozása alapján egyetlen személy tekintetében sem hozható semmiféle döntés (43). Az európai adatvédelmi biztos a szöveg ennek megfelelő módosítását javasolja.

Adatminőség

94. A javaslat 5. cikkének (2) bekezdése fontos pontosítást tesz annak egyértelmű kifejezése által, hogy a légitársaságokat – a kezdeti kereskedelmi célokra gyűjtött adatokon kívül – semmilyen további adat gyűjtésének vagy megőrzésének kötelezettsége nem terheli.

95. Ezen adatok feldolgozásának több vonatkozása tekintetében is érdemes további észrevételeket tenni: — A hozzáférhetővé teendő, a javaslat I. mellékletében felsorolt adatok listája nagyon kiterjedt, amellett, hogy hasonló az EU-USA megállapodás szerint az egyesült államokbeli hatóságok számára hozzáférhető adatok listájához. A kérelmezett adatok némelyikének minőségét az adatvédelmi hatóságok, és különösen a 29. cikk alapján létrehozott munkacsoport már több alkalommal megkérdőjelezte (44). — A hatásvizsgálat (45) és a javaslat 6. cikke (3) bekezdésének megfogalmazása alapján úgy tűnik, hogy a légitársaságok ömlesztve is továbbíthatnak adatokat közvetítők felé. Egy első fázisban a harmadik felek felé továbbított adatokat még a javaslat 1. mellékletében felsorolt PNR-adatoknak megfelelően sem korlátoznák. — Az érzékeny adatok feldolgozásának tekintetében, még ha ezen adatokat a közvetítői fázisban ki is lehet szűrni, továbbra is fennmarad a kérdés, hogy vajon feltétlenül szükséges-e a nyílt terület légitársaságok általi továbbítása. Az európai adatvédelmi biztos támogatja a 29. cikk alapján létrehozott munkacsoport véleményében erre vonatkozóan megfogalmazott álláspontokat.

A PNR-adatok továbbításának módja

96. Az EU-n kívül letelepedett légi fuvarozóknak el kell küldeniük az adatokat az utasinformációkkal foglalkozó hatóságok vagy a közvetítők számára, amennyiben rendelkeznek az ehhez szükséges technikai felépítéssel. Ellenkező esetben lehetővé kell tenniük az adatok lehívással történő kivonását.

97. A különböző adatkommunikálási módoknak az érintett légitársaságoktól függően való lehetővé tétele csak növelni fogja azokat a nehézségeket, amelyek annak ellenőrzésében rejlenek, hogy a PNR-adatok továbbítása megfelel-e az adatvédelmi szabályoknak. Ez az uniós és nem uniós légitársaságok közötti verseny torzításának kockázatát is magában hordozza.

98. Az európai adatvédelmi biztos emlékeztet arra, hogy a légitársaságok számára a továbbított adatok minőségének, valamint a továbbítás körülményeinek ellenőrzését lehetővé tevő adatküldési („push”) módszer az egyetlen megengedhető módszer a feldolgozás arányossága tekintetében. A módszernek emellett hatékony küldést kell jelentenie, vagyis az adatokat ömlesztve kell elküldeni a közvetítőnek, ugyanakkor a feldolgozás legelső fázisában el kell végezni az adatszűrést. Szükségtelen – és a javaslat 1. mellékletében nem felsorolt – adatokat nem lehet harmadik felek részére elküldeni, még akkor sem, ha ezeket az adatokat az érintett harmadik félnek azonnal törölnie kellene.

Adatmegőrzés

99. A javaslat 9. cikke a PNR-adatok megőrzése tekintetében öt éves időszakot ír elő, amelyet egy további nyolc éves időszak egészít ki, amely alatt az adatokat egy korlátozott hozzáférésű „alvó” adatbázisban tovább kell őrizni.

100. Az európai adatvédelmi biztos kérdésesnek tartja a két adatbázistípus közötti különbséget: felmerül a kérdés, hogy vajon az alvó adatbázis ténylegesen – eltérő adattárolási és visszakeresési módszereket alkalmazva – archivál-e. Az alvó adatbázishoz való hozzáférés feltételei közül a legtöbb olyan biztonsági követelmény, amely az adatokat öt évig megőrző adatbázisra is alkalmazandó.

101. A tárolás teljes – 13 év – időtartama mindenesetre túlzott. A hatásvizsgálatban (46) ezt a kockázati mutatók kidolgozásának és az utazási és magatartási szokásminták megállapításának szükségessége indokolja, ezek hatékonyságát azonban további bizonyítékokkal kell alátámasztani. Bár az magától értetődő, hogy az adatok az egyes esetekben, amíg a nyomozás tart, szükség szerinti ideig megőrizhetők, amennyiben azonban senkivel szemben nem áll fenn gyanú, semmi sem indokolja, hogy valamennyi utas adatait 13 évig megőrizzék.

102. Az európai adatvédelmi biztos továbbá megjegyzi, hogy ezt az adatmegőrzési időszakot a tagállamok bizottsági kérdőívre adott válaszai sem támasztják alá, amelyek szerint a tárolás átlagosan előírt időtartama három és fél év (47).

103. Ezenfelül a 13 éves időszak összehasonlítható az Egyesült Államokkal legutóbb kötött megállapodásban foglalt 15 éves megőrzési időszakkal. Az európai adatvédelmi biztos mindig is úgy vélte, hogy ennek a hosszú megőrzési időszaknak az elfogadására kizárólag az Egyesült Államok kormányának határozott nyomása miatt került sor, miszerint a három és fél éves időszaknál lényegesen hosszabb időszakot állapítsanak meg, és nem pedig amiatt, mert ezt akár a Tanács, akár a Bizottság bármikor is támogatta volna. Nem indokolt ennek kompromisszumnak – amely kizárólag a tárgyalások szükséges eredményeként indokolható – az EU-n belüli jogi eszközbe való átültetése.

A tagállamok képviselőiből álló bizottságának szerepe

104. A javaslat 14. cikke által létrehozott tagállami bizottság felel a biztonsági kérdések tekintetében, ideértve a protokollokat és a PNR-adatok rejtjelezését is, továbbá ez a bizottság illetékes a kockázatértékelés közös általános feltételeire, módszereire és gyakorlataira vonatkozó iránymutatások tekintetében is.

105. E megjegyzéseken kívül a javaslat semmilyen elemet vagy kritériumot nem tartalmaz a kockázatértékelési folyamat konkrét feltételeire és kereteire vonatkozóan. A hatásvizsgálat megemlíti, hogy a kritériumok végső soron a tagállamok birtokában levő, folyamatosan változó bűnüldözési operatív információktól fognak függeni. A kockázatértékelést a gyanúsítottak azonosítására vonatkozó egységes szabványok hiányában kell elvégezni. Kérdéses tehát, hogy a tagállamok képviselőiből álló bizottság milyen mértékben tud majd szerepet játszani e téren.

Biztonság

106. A javaslat részletesen kitér több, az utasinformációkkal foglalkozó hatáságok, a közvetítők és az egyéb illetékes hatóságok által az adatvédelem érdekében meghozandó biztonsági intézkedésre (48). Figyelembe véve az adatbázis fontosságát és a feldolgozás érzékenységét, az európai adatvédelmi biztos úgy véli, hogy az előirányzott intézkedéseken felül az adatokat feldolgozó jogalanyokat kötelezni kellene a biztonsági előírások bármilyen megsértéséről való hivatalos értesítés küldésére is.

107. Az európai adatvédelmi biztos tudatában van annak, hogy az európai szintű elektronikus kommunikációs ágazatban kidolgozás alatt áll egy ilyen értesítési eljárás. A biztos javasolja egy ilyen biztosítéknak a javaslatba való beillesztését, és e tekintetben hivatkozik arra a biztonsági előírások megsértésével kapcsolatos értesítési rendszerre, amelyet az Egyesült Államokban vezettek be az állami hatóságok tekintetében (49). Biztonsági balesetek minden tevékenységi területen előfordulhatnak, a köz- és a magánszférában egyaránt, amint ezt a legutóbbi, állampolgárok adatait tartalmazó teljes adatbázis brit hatóságok általi elvesztésének példája is mutatja (50). Az olyan kiterjedt adatbázisok, mint amilyent a javaslat is előirányoz, az elsők között lennének azon a prioritási listán, amely az ilyen riasztórendszer cél-adatbázisait tartalmazza.

Felülvizsgálati és megszüntetési záradék

108. Az európai adatvédelmi biztos megjegyzi, hogy a kerethatározat hatálybalépésétől számított három éven belül a Bizottság által készített jelentés alapján felülvizsgálatot kell végezni. Az adatvédelmi biztos elismeri, hogy ez, a tagállamoktól származó információra épülő felülvizsgálat különös figyelmet szentel majd az adatvédelmi biztosítékoknak, valamint kitér az adatküldési („push”) módszer végrehajtására, az adatmegőrzésre, valamint a kockázatértékelés minőségére. Annak érdekében, hogy a felülvizsgálat átfogó legyen, tartalmaznia kell a PNR-adatok feldolgozása alapján létrehozott statisztikai adatok elemzésének eredményeit is. E statisztikának a javaslat 18. cikkében említett elemek mellett tartalmazniuk kellene a magas kockázatot jelentő személyek azonosítására vonatkozó statisztikai adatokat is, többek között az ilyen azonosítás kritériumait, valamint az azonosítás eredményeként hozott bármilyen bűnüldözési intézkedés konkrét eredményeit.

109. Az európai adatvédelmi biztos e véleményben már kitért arra, hogy hiányoznak azok a konkrét elemek, amelyek megállapítanák a javasolt rendszer szükségességét. Ugyanakkor úgy véli, hogy amennyiben a kerethatározat hatályba lép, azt legalább megszüntetési záradékkal kell kiegészíteni. A hároméves időszak végén a kerethatározatot – amennyiben alkalmazása folytatását semmi nem támasztaná alá – hatályon kívül kell helyezni.

Más jogi eszközökre gyakorolt hatás

110. A javaslat záró rendelkezése feltételhez köti a már meglevő kétoldalú vagy többoldalú megállapodások és rendelkezések további alkalmazását. Ezen eszközöket kizárólag akkor lehet alkalmazni, ha összeegyeztethetők a javasolt kerethatározat célkitűzéseivel.

111. Az európai adatvédelmi biztos kérdésesnek tartja e rendelkezés hatályát. Amint azt a viszonossággal kapcsolatban az V. fejezetben már említettünk, nem derül ki egyértelműen, hogy e rendelkezés milyen hatást gyakorol majd a harmadik országokkal, így többek között az Egyesült Államokkal fennálló megállapodások tartalmára. Más tekintetben az sem világos, hogy vajon a rendelkezés hatással lehet-e a szélesebb hatályú eszközök, mint például az Európa Tanács 108. sz. egyezménye alkalmazásának feltételeire is. Bár ez – tekintettel intézményi kontextus és az érintett szereplők különbségeire – valószínűtlennek látszik, a félreértelmezés minden kockázatát el kell kerülni, és a javaslatnak világossá kell tennie, hogy nem gyakorol semmilyen hatást a szélesebb hatályú eszközökre, nevezetesen azokra, amelyek tárgya az alapvető jogok védelme.

VII. ÖSSZEGZÉS

112. Az európai adatvédelmi biztos hangsúlyozza a jelenlegi javaslat adatvédelmi szempontból gyakorolt jelentős hatását. Elemzését a javaslatban felvetett négy alapvető kérdésre összpontosította, és kitart azon álláspontja mellett, hogy a felmerült kérdésekkel átfogó módon kell foglalkozni. A jelenlegi körülmények mellett a javaslat nem áll összhangban az alapvető jogokkal, különösen az Európai Unió Alapjogi Chartájának 8. cikkével, és ezért azt nem kellene elfogadni.

113. A fenti, különösen a jogszerűség kritériumára vonatkozó észrevételek betartása esetén a jelen vélemény néhány olyan megszövegezési javaslattal élt, amelyeket a jogalkotónak figyelembe kellene vennie. Különösen hivatkozunk itt a vélemény 67., 73., 77., 80., 90., 93., 106,. 109. és 111. pontjára.

A javasolt intézkedések jogszerűsége

114. Míg az általános cél, azaz a terrorizmus és a szervezett bűnözés elleni küzdelem önmagában véve világos és jogszerű, a végrehajtandó adatfeldolgozás fő részei nem tűnnek kellően körülhatároltnak és megindokoltnak.

115. Az európai adatvédelmi biztos véleménye szerint további vizsgálatot igényelnek azok a technikák, amelyek az egyes személyek által jelentett kockázatokat adatgyűjtő eszközök és magatartási minták alkalmazásával értékelik, és egyértelműen meg kell állapítani, hogy hasznosak-e a terrorizmus elleni küzdelem keretében, mielőtt még ilyen széles körben kezdenék alkalmazni őket.

116. A különböző adatbázisokra építés anélkül, hogy globális áttekintéssel rendelkeznénk a konkrét eredményeket és hiányosságokat tekintve: — ellentétes a racionális jogalkotási politikával, amelynek keretében nem szabad új jogi eszközöket elfogadni azt megelőzően, hogy a már meglévőket teljes mértékben végre ne hajtották volna, és bebizonyosodott azok elégtelen volta; — és a teljesen „bekamerázott” társadalom felé vezető lépést jelenthet.

117. A terrorizmus elleni küzdelem természetesen jogszerű oka lehet a magánélethez kapcsolódó alapvető jogok és az adatvédelem területén bizonyos kivételek alkalmazásának. Ugyanakkor ennek létjogosultságához világos és vitathatatlan elemekkel kell alátámasztani a magánéletbe való beavatkozást, és bizonyítani kell a feldolgozás arányosságát. Erre még inkább szükség van abban az esetben, ha – mint a javaslatban tervezettek szerint – jelentős mértékben beavatkoznak az egyén magánéletébe.

118. Ezek az alátámasztó elemek hiányoznak a javaslatból, és a javaslat nem felel meg a szükségesség és arányosság követelményenek.

119. Az európai adatvédelmi biztos hangsúlyozza a szükségesség és arányosság fent említett kritériumai teljesítésének elengedhetetlen fontosságát. Ezek elengedhetetlen feltételei e javaslat hatálybalépésének.

Alkalmazandó jogi keret

120. Az európai adatvédelmi biztos megjegyzi, hogy a projektben részt vevő különböző szereplőkre – különösen a légitársaságokra és egyéb első pillérbeli szereplőkre – alkalmazandó rendszer tekintetében a jogbiztonság súlyos hiánya állapítható meg: legyen szó akár a javaslatban szereplő szabályokról, az adatvédelmi kerethatározatban szereplő szabályokról vagy a 95/46/EK irányelvet végrehajtó nemzeti jogszabályokról. A jogalkotónak egyértelműen meg kell határoznia, hogy e különböző szabályok az adatfeldolgozásnak mely szakaszában alkalmazandóak.

121. Az a jelenlegi tendencia, amely alapján a bűnüldözési célzatú együttműködést rendszeres alapon a magánszféra szereplőire is kiterjesztik, felveti annak kérdését, hogy mely adatvédelmi jogszabály (az első vagy a harmadik pillérre vonatkozó) alkalmazandó ezen együttműködés feltételeire: nem egyértelmű, hogy a szabályokat vajon az adatellenőr jellegére (magánszféra) vagy a kitűzött célra (bűnüldözés) kell-e alapozni?

122. Az európai adatvédelmi biztos már hangsúlyozta az első és a harmadik pillér közötti joghézagok kockázatát (51). Valójában távolról sem egyértelmű, hogy a magánvállalkozásoknak a bűnüldözéshez valamilyen módon kötődően végzett tevékenységeit az EUSz. 30., 31. és 34. cikke alapján az Európai Unió jogalkotójának tevékenységi területe magában foglalja-e.

123. El kell kerülni annak kialakulását, hogy a szolgáltatók által különböző célokból végzett adatfeldolgozás különböző adatvédelmi keretekbe tartozzon, figyelembe véve különösen azokat a nehézségeket, amelyeket ez az adatalanyok számára jogaik gyakorlása tekintetében teremtene.

Címzettek jellege

124. A javaslatnak rendelkeznie kell a légitársaságok által gyűjtött személyes adatok címzettjeinek jellege tekintetében, legyenek azok közvetítők, utasinformációkkal foglalkozó hatóságok vagy illetékes hatóságok.

125. A címzett – aki néhány esetben magánszektorbeli szereplő is lehet – jellege közvetlen kapcsolatban áll a címzettre alkalmazandó adatvédelmi biztosítékok típusával. Alapvető fontosságú, hogy az alkalmazandó rendszer valamennyi érintett szereplő – beleértve a jogalkotót, az adatvédelmi hatóságokat, valamint az adatellenőröket és az érintett adatalanyokat – számára pontosan meghatározott legyen.

Adattovábbítás harmadik országok részére

126. Az európai adatvédelmi biztos hangsúlyozza annak szükségességét, hogy a címzett országokban megfelelő szintű védelmet biztosítsanak. Kérdésesnek találja a javaslatban említett „viszonosság” elvét, valamint annak az olyan országok tekintetében történő alkalmazását, amelyek már megállapodást kötöttek az EU-val, így például Kanada és az USA. Alapvető fontosságúnak tartja, hogy a PNR-adatok harmadik országok részére történő továbbításának feltételei következetesek legyenek, és összehangolt szintű védelem alatt álljanak.

Egyéb lényeges kérdések

127. Az európai adatvédelmi biztos emellett felhívja a jogalkotó figyelmét a javaslat néhány olyan konkrét aspektusára, amelyek további pontosítást vagy az adatvédelem elvének jobb figyelembevételét igénylik. Ez a helyzet áll fenn különösen az alábbi vonatkozások tekintetében: — az automatizált döntéshozatal feltételeit korlátozni kellene, — a feldolgozott adatok mennyiségét csökkenteni kellene, — az adattovábbítás módszerének kizárólag az adatküldési („push”) módszerre kellene épülnie, — az adatmegőrzés időtartama túlzott és indokolatlan, — a tagállamok képviselőiből álló bizottság szerepét pontosítani lehetne a kockázatértékelésre vonatkozó iránymutatás tekintetében, — a biztonsági intézkedéseknek magukban kellene foglalniuk egy a biztonsági előírások megsértéséről küldött értesítésre vonatkozó eljárást is, — a határozat felülvizsgálatának megszüntetési záradékot is tartalmaznia kellene, — a javaslatnak világossá kellene tennie, hogy semmilyen hatással nincs a szélesebb hatályú, nevezetesen az alapvető jogok védelmét célzó eszközökre.

Záró észrevételek

128. Az európai adatvédelmi biztos megjegyzi, hogy a javaslat olyan pillanatban készült, amikor az Európai Unió intézményi kerete gyökeres változás elé néz. A Lisszaboni Szerződés alapvető hatást gyakorol a döntéshozatalra, különösen tekintettel a Parlament szerepére.

129. A javaslat alapvető jogok tekintetében vett, eddig példátlan hatásait figyelembe véve az európai adatvédelmi biztos nem ajánlja a javaslat jelenlegi szerződéses keretben való elfogadását, inkább annak biztosítását javasolja, hogy a javaslat elfogadása az új szerződésben előirányzott együttdöntési eljárás szerint történjen. Ez megerősítené a javaslatban előirányzott határozott intézkedések meghozatalának jogi alapját.

(1) HL L 281., 1995.11.23., 31. o.

(2) HL L 8., 2001.1.12., 1. o.

(3) Beleértve a tagállamokat, az adatvédelmi hatóságokat és a légitársaságok szövetségeit. A kérdőívet az Európai Bizottság által e javaslatra vonatkozóan készítendő hatásértékelés elkészítése céljából állították össze.

(4) Megállapodás az Európai Unió és az Amerikai Egyesült Államok között az utas-nyilvántartási adatállomány (PNR) adatainak a légi fuvarozók általi feldolgozásáról és az Egyesült Államok Belbiztonsági Minisztériuma részére történő továbbításáról (2007. évi PNR-megállapodás) (HL L 204., 2007.8.4., 18. o.).

(5) Megállapodás az Európai Közösség és a kanadai kormány között az előzetes utasinformáció és az utas-nyilvántartási adatállomány adatainak feldolgozásáról (HL L 82., 2006.3.21., 15. o.).

(6) A Tanács 2004. április 29-i 2004/82/EK irányelve a fuvarozóknak az utasokkal kapcsolatos adatok közlésére vonatkozó kötelezettségéről (HL L 261., 2004.8.6., 24. o.).

(7) E javaslat legutóbbi tervezete megtalálható a tanácsi dokumentumok nyilvántartásában 16397/07 dokumentumszámmal.

(8) A Bizottság által 2007. november 6-án benyújtott együttes vélemény az utas-nyilvántartási adatok (PNR) bűnüldözési célú felhasználásáról szóló tanácsi kerethatározati javaslatról, amelyet a 29. cikk alapján létrehozott munkacsoport 2007. december 5-én, a rendőrségi és igazságügyi munkacsoport pedig 2007. december 18-án fogadott el, WP 145, WPPJ 01/07.

(9) Az egyének személyes adataik gépi feldolgozása során való védelméről szóló, 1981. január 28-i Európa tanácsi egyezmény.

(10) A javaslat indokolása, I. fejezet.

(11) Hatásvizsgálat, 2.1. fejezet, „A probléma ismertetése”.

(12) Ez a meghatározás az Európa Tanácsnak a profilalkotásról készült közelmúltbeli tanulmányából származik: L'application de la Convention 108 au mécanisme de profilage, Eléments de réflexion destinés au travail futur du Comité consultatif (T-PD), Jean-Marc Dinant, Christophe Lazaro, Yves Poullet, Nathalie Lefever, Antoinette Rouvroy, 2007. november (még nem tették közzé). Lásd még Lee Bygrave meghatározását: „A profiling általában véve azt a folyamatot jelenti, amelynek során következtetéseket vonnak le egy adott személy vagy csoport (rendszerint viselkedési) jellemzőire vonatkozóan, majd e személyt/csoportot (vagy más személyt/csoportot) e jellemzők alapján kezelik. A profiling két fő részből áll: i. profilalkotás – következtetések levonása egy adott profilra vonatkozóan; ii. profilalkalmazás – a személy/csoport e profil alapján való kezelése”. L. A. BYGRAVE, Minding the machine: Article 15 of the EC Data Protection Directive and Automated Profiling, Computer Law & Security Report, 2001, 17. kötet, 17–24. o.

http://www.austlii.edu.au/au/journals/PLPR/2000/40.html

(13) Rotaru kontra Románia, 28341/95., 50., 52. és 55. pont.

Lásd még: Amann kontra Svájc, 27798/95., 50. ponttól.

(14) 2.1. fejezet, „A probléma ismertetése”.

(15) Lásd pl. az Egyesült Államok kormányzati felügyelő hivatalának (Government Accountability Office – GAO) 2007. májusi, a kongresszus tagjai számára készült jelentését: „Aviation Security: Efforts to Strengthen International Passenger Prescreening are Under Way, but Planning and Implementation Issues remain”,

http://www.gao.gov/new.items/d07346.pdf

(16) A 108. egyezmény 9. cikke szerint „abban az esetben engedélyezhető eltérés ezen egyezmény 5., 6. és 8. cikkétől, ha az adott fél joga rendelkezik ilyen eltérésről, és az eltérés szükséges intézkedést jelent egy demokratikus társadalomban az alábbiak érdekében:

1. az állambiztonságnak, a közbiztonságnak vagy az állam monetáris érdekeinek védelme, vagy a bűncselekmények felszámolása;

2. az adatalany vagy mások jogainak és szabadságainak védelme.”.

(17) A Tanács 2004. június 8-i 2004/512/EK határozata a Vízuminformációs Rendszer létrehozásáról (VIS) (HL L 213., 2004.6.15., 5. o.) Javaslat – Az Európai Parlament és a Tanács rendelete a vízuminformációs rendszerről (VIS) és a rövid távú tartózkodásra jogosító vízumokra vonatkozó adatok tagállamok közötti cseréjéről (COM(2004) 835 végleges). Javaslat – A Tanács határozata a vízuminformációs rendszerhez (VIS) a tagállamok belső biztonságért felelős hatóságai, valamint az Europol számára a terrorcselekmények és egyéb súlyos bűncselekmények megelőzése, felderítése és kivizsgálása érdekében, konzultációs céllal történő hozzáférésről (COM(2005) 600 végleges).

(18) Lásd különösen: a Tanács 2007. június 12-i 2007/533/IB határozata a Schengeni Információs Rendszer második generációjának (SIS II) létrehozásáról, működtetéséről és használatáról (HL L 205., 2007.8.7.).

(19) E kérdést illetően lásd: Az adatvédelmi biztos véleménye a vízuminformációs rendszerhez (VIS) a tagállamok belső biztonságért felelős hatóságai, valamint az Europol számára a terrorcselekmények és egyéb súlyos bűncselekmények megelőzése, felderítése és kivizsgálása érdekében, konzultációs céllal történő hozzáférésről szóló tanácsi határozati javaslatról (COM(2005) 600 végleges) (HL C 97., 2006.4.25., 6. o.).

(20) Lásd az európai adatvédelmi biztos véleményeit a prümi határozatokról: A 2007. április 4-i vélemény a különösen a terrorizmus és a határokon átnyúló bűnözés elleni küzdelemre irányuló, határokon átnyúló együttműködés megerősítéséről szóló tanácsi határozat elfogadását célzó kezdeményezésről (HL C 169., 2007.7.21., 2. o.) és a 2007. december 19-i vélemény a Németországi Szövetségi Köztársaságnak a különösen a terrorizmus és a határokon átnyúló bűnözés elleni küzdelemre irányuló, határokon átnyúló együttműködés megerősítéséről szóló 2007/…/IB határozat végrehajtásáról szóló tanácsi határozat elfogadására irányuló kezdeményezéséről, amely elérhető az alábbi honlapon:

http://www.edps.europa.eu

(21) Az európai adatvédelmi biztos erre már többször felhívta a figyelmet, legutóbb az adatvédelmi irányelv végrehajtásáról szóló, 2007. július 25-i véleményében (HL C 255., 2007.10.27., 1. o.).

(22) A javaslat és a hatásvizsgálat 6. cikkének (3) bekezdése, A. melléklet, „Az adatok hordozók általi átadásának módszere”.

(23) Az Európai Parlament és a Tanács 1995. október 24-i 95/46/EK irányelve a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról (HL L 281., 1995.11.23., 31. o.).

(24) Ebben e tekintetben lásd a PNR-ítéletet. A Bíróság 2006. május 30-i ítélete, Európai Parlament kontra Tanács (C-317/04) és Bizottság (C-318/04), C-317/04. és C-318/04. sz. egyesített ügyek, EBHT 2006., I-56. o.

(25) A javaslat 11. cikke. Lásd még a preambulum (10) bekezdését is. „Az e kerethatározattal összefüggő mindenfajta adatfeldolgozásra a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről szóló (…) tanácsi kerethatározatot kell alkalmazni. Az érintetteknek a feldolgozáshoz kapcsolódó jogai – tájékoztatásoz való jog, hozzáférési jog, helyesbítésre, törlésre és kitakarásra vonatkozó jog, valamint a kártérítéshez és az jogorvoslati szankciókhoz való jog – ugyanazok, mint a fenti kerethatározatban rögzített jogok.”.

(26) Az adatvédelmi kerethatározat (5) preambulumbekezdése a) pontjának 2007. december 11-i változata.

(27) 1. cikk.

(28) E pont tekintetében a harmadik pillérben alkalmazandó adatvédelemről szóló kerethatározat 27b. cikk szövegének legutóbbi változatát alapos mérlegelésnek és vitának kell alávetni.

(29) A Bíróság 2006. május 30-i ítélete, Európai Parlament kontra Tanács (C-317/04) és Bizottság (C-318/04), C-317/04. és C-318/04. sz. egyesített ügyek, EBHT 2006., I-56. o.

(30) A nyilvánosan elérhető elektronikus hírközlési szolgáltatások nyújtása, illetve a nyilvános hírközlő hálózatok keretében előállított vagy feldolgozott adatok megőrzéséről és a 2002/58/EK irányelv módosításáról szóló, 2006. március 15-i 2006/24/EK európai parlamenti és tanácsi irányelv (HL L 105., 2006.4.13., 54. o.).

(31) Lásd: Az európai adatvédelmi biztos véleménye az adatvédelmi irányelv jobb végrehajtását célzó munkaprogram nyomon követéséről szóló, az Európai Parlamenthez és a Tanácshoz címzett bizottsági közleményről, HL C 255., 2007.10.27., 1. o. Lásd még: 2006. évi jelentés, 47. o.

(32) A javaslat 6. cikke.

(33) A SITA-t 1949-ben alapította a 11 légitársaság-tag. A SITA INC (Information, Networking Computing) kereskedelmi vállalaton keresztül biztosítják a hozzáadott értékkel bíró megoldásokat és a SITA SC révén együttműködési alapon a hálózati szolgáltatásokat.

(34) Hatásvizsgálat, A. melléklet, „A légi fuvarozók általi adattovábbítás módjai”.

(35) A javaslat 3. cikke.

(36) A javaslat 8. cikke.

(37) Az európai adatvédelmi biztos 2007. június 26-i véleménye a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről szóló tanácsi kerethatározatra vonatkozó javaslatról, 27–30. pont (HL C 139., 2007.6.23., 1. o.).

(38) A javaslat indokolása, 2. fejezet.

(39) Hatásvizsgálat, 5.2. fejezet, „A magánélet védelme”.

(40) Hatásvizsgálat, 5.2. fejezet, „Harmadik országokkal fennálló kapcsolatok”.

(41) Hatásvizsgálat, A. melléklet, „Az utasinformációkkal foglalkozó hatóságoktól adatokat kapó szervek”.

(42) A javaslat (20) preambulumbekezdése, valamint 3. cikkének (3) és (5) bekezdése.

(43) E tekintetben lásd a 95/46/EK irányelv 15. cikkének (1) bekezdését. Az irányelv megtiltja az ilyen automatizált döntéseket azokban az esetekben, ha azok érintenék az egyént. A javaslat tekintetében azonban az igazságszolgáltatás keretében hozott döntések valószínűsíthetően minden esetben jelentős mértékben érintenék az adatalanyokat. Emellett az adatalanyokra a másodlagos ellenőrzéseknek való alávetés is hatással lehet, különösen ha ezen intézkedésekre ismételten sor kerül.

(44) Lásd különösen az Európai Unió és az Amerikai Egyesült Államok közötti, az utas-nyilvántartási adatállomány (PNR) adatainak a légi fuvarozók általi feldolgozásáról és az Egyesült Államok Belbiztonsági Minisztériuma (DHS) részére történő továbbításáról szóló, 2007. júliusában megkötött megállapodásról szóló, 2007. augusztus 17-i 5/2007. sz. véleményt, WP 138.

(45) Hatásvizsgálat, A. melléklet, „A légi fuvarozók általi adattovábbítás módjai”.

(46) Hatásvizsgálat, A. melléklet, „Adatmegőrzési időszak”.

(47) Hatásvizsgálat, B. melléklet.

(48) A javaslat 12. cikke.

(49) Lásd különösen az amerikai azonosságlopás elleni munkacsoport („Identity Theft Task Force”)

(http://www.idtheft.gov/) munkáit.

(50) Lásd a Brit Vám- és Pénzügyőrség honlapját:

http://www.hmrc.gov.uk/childbenefit/update-faqs.htm.

Lásd:

http://news.bbc.co.uk/1/hi/uk_politics/7103566.stm

(51) Lásd: Az európai adatvédelmi biztos véleménye az adatvédelmi irányelv jobb végrehajtását célzó munkaprogram nyomon követéséről szóló, az Európai Parlamenthez és a Tanácshoz címzett bizottsági közleményről, HL C 255., 2007.10.27., 1. o. Lásd még: 2006. évi jelentés, 47. o.