Udostępnianie danych innym organom krajowym przez DHS przebiega zgodnie z umową. Odbywa się ono indywidualnie dla każdego przypadku, na podstawie porozumień pisemnych i jest rejestrowane. Udostępnianie danych państwom trzecim jest także rozumiane w sposób zawężający i również ma miejsce zgodnie z przepisami umowy. Stany Zjednoczone stosują takie same wymogi w zakresie ochrony danych w odniesieniu do wszystkich pozyskiwanych i przetwarzanych danych PNR, niezależnie od tego, czy pochodzą z UE czy spoza niej.

DHS w dalszym ciągu wywiązuje się ze swoich zobowiązań w odniesieniu do praw pasażerów, w szczególności, jeśli chodzi o dostarczanie pasażerom stosownych informacji oraz wdrażanie prawa dostępu do danych bez wyjątków, jak przewidziano w art. 11–13. Z zadowoleniem przyjęto wejście w życie ustawy o sądowych środkach odwoławczych z 2015 r. w okresie następującym po wspólnym przeglądzie.

Zespół UE ponownie ustalił, że Stany Zjednoczone wdrożyły Umowę zgodnie z określonymi w niej warunkami. DHS przestrzega swoich zobowiązań w odniesieniu do praw dostępu pasażerów i dysponuje mechanizmem kontroli, aby przeciwdziałać niezgodnej z prawem dyskryminacji. Komisja z zadowoleniem przyjmuje także stałe wysiłki mające zapewnić wzajemność i proaktywne przekazywanie informacji analitycznych uzyskanych z danych PNR państwom członkowskim UE, a w stosownych przypadkach także Europolowi i Eurojustowi. Zasady dotyczące maskowania oraz usuwania danych szczególnie chronionych są przestrzegane. DHS stwierdził, że nigdy nie korzystał z dostępu do danych szczególnie chronionych w celach operacyjnych.

Poprawiło się również stosowanie przepisów art. 13, który odnosi się do mechanizmów dochodzenia roszczeń dostępnych dla osób fizycznych. W przeglądzie dokonanym w 2013 r. zalecano większą przejrzystość w odniesieniu do mechanizmów dochodzenia roszczeń dostępnych dla pasażerów zgodnie z prawem Stanów Zjednoczonych. Jako pozytywny należy odnotować fakt, że program DHS dotyczący dochodzenia roszczeń przez podróżnych (Traveller Redress Inquiry Program, w skrócie TRIP) jest punkt kompleksowej obsługi dla obywateli; jednakże Stany Zjednoczone powinny w dalszym ciągu dokonywać przeglądu wszystkich środków koniecznych do zagwarantowania, by wszyscy pasażerowie byli świadomi mechanizmów dochodzenia roszczeń.

W wyniku przeglądu w 2013 r. zalecono, by na mocy art. 18 DHS poprawiło procedurę mającą na celu powiadamianie państw członkowskich UE w przypadku wymiany danych PNR pochodzących z UE między DHS i państwami trzecimi. W odpowiedzi urzędnik CBP został oddelegowany do Europolu jako oficer łącznikowy w lipcu 2014 r. Jeżeli oficer łącznikowy zidentyfikuje pasażera mającego powiązania z państwem członkowskim, przekazuje takie informacje w sprawozdaniu dla przedstawicieli państw członkowskich.

Naliczanie sześciomiesięcznego okresu, po którym dane PNR są anonimizowane zgodnie z art. 8 ust. 1 Umowy, obecnie rozpoczyna się dnia, w którym dane PNR są ładowane w systemie automatycznego naprowadzania DHS (ATS) (tak zwanym ATS Load Date), czyli pierwszego dnia, w którym dane są przechowywane w ATS; zastąpiono w ten sposób poprzednią praktykę, co powoduje, że okres sześciu miesięcy zaczyna być naliczany później (do momentu ostatniej aktualizacji danych PNR w ATS).

Wspólny przegląd opiera się na metodach opracowanych przez zespoły UE i USA na potrzeby przeprowadzenia pierwszego wspólnego przeglądu umowy o przekazywaniu danych PNR zawartej w 2004 r., który miał miejsce we wrześniu 2005 r., oraz na potrzeby wspólnego przeglądu w 2013 r. Pierwszy etap polegał na wysłaniu przez Komisję Europejską kwestionariusza do DHS przed rozpoczęciem wspólnego przeglądu.

Pomimo pomyślnej realizacji postanowień Umowy niezbędne jest jednak wprowadzenie pewnych ulepszeń. Artykuł 2 stanowi, że zakres Umowy obejmuje loty powiązane ze Stanami Zjednoczonymi. Korzystanie z mechanizmu obejścia zasady lub wstrzymania działania automatycznego mechanizmu przy dostępie do danych PNR w przypadku lotów niezwiązanych ze Stanami Zjednoczonymi jest uzależnione od spełnienia szeregu warunków i podlega nadzorowi. Od czasu przeglądu w 2013 r. wzrosła liczba przypadków stosowania tego mechanizmu. W celu lepszego zrozumienia przyczyn ich wystąpienia DHS musi szczegółowo rejestrować powody, dla których skorzystano z takiego mechanizmu.

W odniesieniu do art. 5 od czasu ostatniego przeglądu w 2013 r. wzrosła liczba pracowników mających prawo dostępu do danych PNR. Zespół UE pozytywnie ocenia obowiązujące mechanizmy nadzoru, jednak zachęca DHS do dalszego monitorowania liczby pracowników dysponujących prawem dostępu do danych PNR w celu zagwarantowania, by tylko osoby, które z powodów operacyjnych muszą korzystać z danych i je przeglądać, były do tego uprawnione.

W odniesieniu do art. 6 w okresie omawianego przeglądu nie udzielono dostępu do danych wrażliwych. W ciągu 48 godzin DHS, zgodnie ze swoimi przepisami, powiadamia Komisję o wszelkich przypadkach uzyskania przez pracowników DHS dostępu do wrażliwych danych. Zaleca się, aby DHS dokonywał regularnego przeglądu wykazu kodów wrażliwych danych w celu zapewnienia automatycznej blokady przez system wszelkich wrażliwych danych. O wszelkich zmianach należy informować Komisję.

Po upływie początkowego okresu sześciu miesięcy DHS stosuje zautomatyzowane procesy przy maskowaniu wszystkich elementów danych, które mogłyby posłużyć do identyfikacji pasażera, którego dotyczą dane PNR. Jest to zgodne z przepisami art. 8 Umowy. W toku przeglądu ustalono jednak, że liczba elementów danych PNR powiązanych z przypadkami egzekwowania prawa, a zatem niepodlegających maskowaniu, jest wysoka. Zaleca się, aby DHS dogłębniej zbadało tę kwestię, by zrozumieć, dlaczego liczba ta jest wysoka, a także zagwarantować, by niepotrzebne już dane PNR zostały w miarę możliwości szybko zamaskowane, zanonimizowane lub usunięte. Jako pozytywny należy odnotować fakt, że DHS zastosował się do zaleceń z przeglądu w 2013 r. i gwarantuje, że użytkownik DHS musi obecnie uzasadnić, dlaczego dane PNR nie są zamaskowane.

DHS postępuje zgodnie z art. 11 Umowy, nie odmawiając pasażerom dostępu do ich danych. Od ostatniego przeglądu w 2013 r. wydłużył się czas odpowiedzi i DHS powinien ustalić, czy istnieje możliwość jego skrócenia.

Na mocy art. 15 DHS będzie nadal wspierać i zachęcać wszystkich pozostałych przewoźników do rozwijania zdolności do przekazywania danych PNR przy użyciu metody „push”. Z zadowoleniem należy przyjąć fakt, że DHS rozszerzył stosowanie metody „push” w odniesieniu do wszystkich linii lotniczych, które wchodziły w zakres porozumienia w momencie przeprowadzania wspólnego przeglądu, mimo że miało to miejsce dopiero po przeglądzie.

W odniesieniu do artykułów 16 i 18 DHS powinien dostarczyć bardziej szczegółowych informacji na temat tego, jakie dokładnie dane są gromadzone na podstawie tych przepisów, a także być w stanie udzielić dodatkowych informacji na temat danych, którymi wymieniono się z innymi organami Stanów Zjednoczonych, policją, organami ścigania i organami sądowymi w całej UE.

Ponadto w odniesieniu do przyszłych przeglądów i oceny DHS powinien zadbać o to, aby wszystkie fakty i dane liczbowe były gromadzone w sposób spójny, co umożliwi dokonywanie bezpośrednich analiz porównawczych.

W celu przygotowania niniejszego sprawozdania zespół UE korzystał z informacji zawartych w pisemnych odpowiedziach, które DHS udzielił na pytania w kwestionariuszu UE, informacji uzyskanych w toku rozmów z personelem DHS, informacji zawartych w wyżej wymienionym sprawozdaniu Urzędu ds. Prywatności DHS, jak również informacji zawartych w innych publicznie dostępnych dokumentach DHS.

Proces przygotowań do wspólnego przeglądu i kolejnego sprawozdania

Komisja przesłała kwestionariusz do DHS w dniu 8 maja 2015 r., przed wspólnym przeglądem. Kwestionariusz zawierał szczegółowe pytania w odniesieniu do wykonania Umowy przez DHS. W dniu 12 czerwca 2015 r. DHS przedstawił pisemne odpowiedzi na zawarte w kwestionariuszu pytania.

Komisja skontaktowała się również ze wszystkimi państwami członkowskimi, aby ustalić, czy mają jakiekolwiek kontakty ze Stanami Zjednoczonymi w zakresie danych PNR.

W dniach 1-2 lipca 2015 r. zespół UE przeprowadził kontrolę w ramach wspólnego przeglądu i uzyskał dostęp do pomieszczeń DHS, dokonał inspekcji Krajowego Centrum Celów DHS (National Targeting Center) i miał możliwość przyjrzeć się, jak funkcjonuje takie centrum.

W dniu 26 czerwca 2015 r. Urząd ds. Prywatności DHS opublikował swoje sprawozdanie w sprawie wykorzystywania i przekazywania danych PNR między UE i USA. Niestety zespół UE nie dysponował wystarczającą ilością czasu, by przeanalizować całe sprawozdanie przed kontrolą w ramach przeglądu. Następnie zespół UE przeanalizował sprawozdanie Biura ds. Prywatności i zadał pytania uzupełniające, by pomóc sfinalizować kompletne sprawozdanie na temat wspólnego przeglądu.

Po zakończeniu kontroli w ramach wspólnego przeglądu DHS przedstawił, na prośbę zespołu UE wyrażoną w trakcie kontroli, dodatkowe informacje na piśmie. Informacje te wykorzystano przy sporządzaniu niniejszego sprawozdania.

W dniu 25 września 2015 r. DHS potwierdził, że wszyscy przewoźnicy dostarczający danych PNR na mocy Umowy są w stanie przekazywać Stanom Zjednoczonym dane PNR przy użyciu metody „push”.

W dniu 21 stycznia 2016 r. Komisja przedstawiła projekt sprawozdania również innym członkom zespołu UE.

Po uwzględnieniu uwag zgłoszonych do projektu sprawozdania przez innych członków zespołu UE Komisja przedstawiła Stanom Zjednoczonym kopię projektu sprawozdania podczas posiedzenia z udziałem urzędników wysokiego szczebla w Waszyngtonie D.C. w dniu 17 marca 2016 r. Umożliwiło to DHS zidentyfikowanie i zgłoszenie uwag dotyczących wszelkich nieścisłości lub wszelkich informacji, których nie można podać do wiadomości publicznej.

Następnie DHS przekazał aktualną wersję kwestionariusza i nieformalne uwagi do projektu sprawozdania, które zespół UE omówił na spotkaniu w dniu 9 czerwca 2016 r.

Komisja i DHS kontynuowali dyskusje na temat projektu sprawozdania, m.in. na posiedzeniu urzędników wysokiego szczebla w Waszyngtonie D.C. w dniu 14 lipca 2016 r. W sierpniu 2016 r. Komisja poinformowała DHS, że w zakresie w jakim DHS nadal nie zgadza się z treścią sprawozdania lub pragnie przekazać dodatkowe informacje na potrzeby sprawozdania, może on przedstawić pisemne uwagi, które następnie zostaną dołączone do sprawozdania zgodnie z art. 23 ust. 3 Umowy