PT Jornal Oficial da União Europeia L 91/49

DECISÃO DA COMISSÃO

de 6 de Setembro de 2005

sobre o nível de protecção adequado dos dados pessoais contidos nos registos de passageiros aéreos (Passenger Name Record) transferidos para o serviço de fronteiras canadiano (Canada Border Services Agency)

[notificada com o número C(2005) 3248]

(Texto relevante para efeitos do EEE)

(2006/253/CE)

A COMISSÃO DAS COMUNIDADES EUROPEIAS,

Tendo em conta o Tratado que institui a Comunidade Europeia,

Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1), nomeadamente o n.o 6 do seu artigo 25.o,

Considerando o seguinte:

(1) Nos termos da Directiva 95/46/CE, os Estados-Membros devem garantir que a transferência de dados pessoais para um país terceiro só possa realizar-se se o país terceiro em questão assegurar um nível de protecção adequado e as legislações nacionais dos Estados-Membros que transponham outras disposições da directiva tiverem sido respeitadas antes de efectuada a transferência.

(2) A Comissão pode determinar que um país terceiro garante um nível de protecção adequado. Nesse caso, podem ser transferidos dados pessoais a partir dos Estados-Membros sem que sejam necessárias garantias adicionais.

(3) Nos termos da Directiva 95/46/CE, o nível de protecção de dados será apreciado em função de todas as circunstâncias que rodeiem a transferência ou o conjunto de transferências de dados, dando especial consideração a determinados elementos pertinentes para a transferência, enumerados no n.o 2 do artigo 25.o dessa directiva.

(4) No quadro dos transportes aéreos, o «Passenger Name Record» (PNR) é um registo dos dados relativos à viagem de cada passageiro, que contém todas as informações necessárias ao processamento e controlo das reservas pelas companhias aéreas que as efectuam e nelas participam (2). Para efeitos da presente decisão, os termos «passageiro» e «passageiros» incluem igualmente os membros da tripulação. «Companhia de reserva» significa a companhia junto da qual o passageiro efectuou as suas reservas originais ou reservas adicionais após o início da viagem. «Companhia participante» significa a companhia junto da qual a companhia de reserva reservou lugares para um passageiro, num ou mais dos seus voos.

(5) O serviço de fronteiras canadiano (Canada Border Services Agency — CBSA) exige a todas as companhias aéreas que efectuem voos internacionais de passageiros com destino ao Canadá que lhe forneçam acesso electrónico aos PNR que estejam compilados e armazenados nos respectivos sistemas automatizados de reservas e de controlo de partidas.

(6) Os requisitos de transferência dos dados pessoais contidos nos PNR de passageiros aéreos para o CBSA baseiam-se na secção 107.1 da lei canadiana relativa às alfândegas (Customs Act) e no ponto 148(d) da lei sobre imigração e protecção de refugiados (Immigration and Refugee Protection Act) e nos regulamentos de aplicação adoptados ao abrigo desse diploma (3).

(7) A legislação canadiana em causa diz respeito à melhoria da segurança e das condições em que é possível entrar no país, domínio em que o Canadá tem poderes soberanos para decidir dentro da sua jurisdição. Os requisitos definidos não são, além disso, incompatíveis com os compromissos internacionais assumidos pelo Canadá. O Canadá é um país democrático que respeita os princípios do Estado de direito e com uma tradição arreigada de liberdades civis. A legitimidade do seu processo legislativo e a força e a independência do seu sistema judicial não estão em causa. A liberdade de imprensa é uma garantia suplementar contra o abuso das liberdades civis.

(8) A Comunidade Europeia está plenamente empenhada em apoiar a luta do Canadá contra o terrorismo, nos limites impostos pela legislação comunitária. O direito comunitário permite estabelecer o equilíbrio necessário entre as exigências de segurança e o respeito da vida privada. Por exemplo, o artigo 13.o da Directiva 95/46/CE prevê que os Estados-Membros possam tomar medidas legislativas destinadas a restringir o alcance das obrigações e direitos referidos na directiva, sempre que tal restrição constitua uma medida necessária à protecção da segurança do Estado, da defesa, da segurança pública e da prevenção, investigação, detecção e repressão de infracções penais.

(9) A transferência de dados em questão envolve responsáveis específicos pelo tratamento de dados, nomeadamente companhias aéreas que efectuam voos entre a Comunidade Europeia e o Canadá, e apenas um destinatário no Canadá, designadamente o CBSA.

(10) Qualquer acordo no sentido de criar um quadro legal para as transferências de PNR para o Canadá, em particular através da presente decisão, deverá ser limitado no tempo. Ficou acordado um período de três anos e meio. Durante esse período, o contexto pode alterar-se significativamente, pelo que ambas as partes concordam que será necessária uma revisão do acordo.

(11) O tratamento, pelo CBSA, de dados pessoais contidos nos PNR de passageiros aéreos transferidos para esta entidade é regido pelas condições estabelecidas na Declaração de Compromisso do CBSA sobre a aplicação do programa relativo aos dados PNR (doravante «a Declaração de Compromisso») e na legislação nacional canadiana, nos casos em que tal estiver indicado naquela Declaração.

(12) Quanto à legislação nacional do Canadá, a lei relativa à privacidade (Privacy Act) a lei relativa ao acesso à informação (Access to Information Act) e a secção 107 da lei do Customs Act são determinantes no presente contexto, na medida em que regem as condições em que o CBSA pode recusar pedidos de divulgação e, consequentemente, manter os PNR confidenciais. O Privacy Act rege a divulgação de PNR à pessoa a quem este diz respeito (titular dos dados), em estreita ligação com o direito de acesso aos dados desse titular. O Privacy Act aplica se apenas às pessoas presentes no Canadá. Contudo, além disso, o CBSA concede acesso à informação dos PNR relativa a cidadãos estrangeiros se não estiverem presentes no Canadá.

(13) Quanto à Declaração de Compromisso, e tal como previsto especificamente na sua secção 43, o disposto na mesma estará já incorporado na legislação canadiana existente, ou em regulamentos nacionais formulados especificamente para esse fim, adquirindo, assim, força de lei. A Declaração de Compromisso será publicada integralmente na publicação Canada Gazette. Como tal, esta declaração representa um compromisso sério e ponderado por parte do CBSA e o seu cumprimento será objecto de uma revisão conjunta pelo Canadá e pela Comunidade Europeia. O não cumprimento pode ser adequadamente combatido pela vias legais, administrativas e políticas e, se for continuado, poderá dar azo à suspensão dos efeitos da presente decisão.

(14) As normas pelas quais o CBSA se rege para tratar os dados dos PNR dos passageiros com base na legislação canadiana e na Declaração de Compromisso abrangem os princípios básicos necessários a um nível adequado de protecção das pessoas singulares.

(15) Quanto ao princípio da limitação do objectivo, o CBSA tratará os dados pessoais contidos nos PNR de passageiros aéreos transferidos para esta entidade com um objectivo específico e, consequentemente, utilizá-los-á ou comunicá-los-á a terceiros apenas se tal for compatível com o objectivo da transferência. Em especial, os dados dos PNR serão utilizados estritamente para impedir e combater: o terrorismo e crimes conexos e outros crimes graves — incluindo o crime organizado — que são, por natureza, transnacionais.

(16) Quanto à qualidade dos dados e ao princípio da proporcionalidade, que tem de ser considerado em relação com os importantes motivos de interesse público pelos quais os dados dos PNR são transferidos, os dados fornecidos ao CBSA não serão posteriormente alterados por este organismo. Será transferido um máximo de 25 categorias de dados do PNR, e o CBSA consultará e chegará a acordo com a Comissão Europeia no que toca à revisão dos 25 elementos de dados PNR exigidos definidos no apêndice A, antes de efectuar qualquer revisão nesse sentido. Quaisquer informações pessoais adicionais pedidas em resultado directo dos dados dos PNR serão obtidas de fontes não estatais e apenas pelas vias legais. Regra geral, os PNR serão eliminados decorrido um prazo máximo de três anos e seis meses.

(17) Quanto ao princípio da transparência, o CBSA irá fornecer informação aos passageiros quanto ao objectivo da transferência e do tratamento, bem como à identidade do responsável pelo tratamento dos dados no país terceiro, além de outras informações.

(18) Quanto ao princípio da segurança, o CBSA tomará as medidas de segurança de carácter técnico e organizacional adequadas aos riscos que o tratamento dos dados representa.

(19) O direito de acesso, correcção e notação são reconhecidos na lei sobre a privacidade (Privacy Act) relativamente às pessoas presentes no Canadá. O CBSA alargará estes direitos à informação contida nos dados PNR em seu poder aos cidadãos de outros países não presentes no Canadá. As excepções previstas são largamente comparáveis com as restrições que podem ser impostas pelos Estados-Membros ao abrigo do artigo 13.o da Directiva 95/46/CE.

(20) As transferências subsequentes serão feitas para outras autoridades governamentais, incluindo estrangeiras, numa base casuística, para fins idênticos ou coerentes com os referidos na declaração sobre os limites das finalidades a que se destinam relativamente a um número mínimo de dados. As transferências podem ainda ser efectuadas tendo em vista a protecção dos interesses vitais dos titulares dos dados ou de outras pessoas, nomeadamente no caso de riscos graves para a saúde ou no âmbito de qualquer procedimento criminal ou de qualquer outra forma exigida pela lei. Estes organismos destinatários dos dados estão obrigados, em virtude das condições expressas de divulgação, a utilizar os dados unicamente para os fins previstos, não podendo transferi-los subsequentemente sem o acordo do CBSA. Nenhuma outra autoridade estrangeira, federal, provincial ou local dispõe de acesso electrónico directo aos dados dos PNR através das bases de dados do CBSA. O CBSA recusará a divulgação ao público de dados dos PNR, com base nas isenções previstas nas disposições pertinentes das leis Access to Information Act e Privacy Act.

(21) O CBSA não recebe dados sensíveis, na acepção do artigo 8.o da Directiva 95/46/CE.

(22) Quanto aos mecanismos de aplicação da lei destinados a garantir o cumprimento, pelo CBSA, destes princípios, estão previstas acções de formação e informação do pessoal deste organismo, bem como sanções a aplicar aos seus membros individuais. O respeito pela privacidade em geral por parte do CBSA será fiscalizado pelo serviço independente do Office of the Canadian Privacy Commissioner nas condições previstas na lei canadiana sobre direitos e liberdades (Canadian Charter of Rights and Freedoms) e da lei sobre privacidade (Privacy Act). O Privacy Commissioner examinará as queixas que lhe tenham sido apresentadas pelas autoridades responsáveis pela protecção dos dados (APD) dos Estados-Membros em nome de residentes da Comunidade, nos casos em que o residente considere que a sua queixa não foi satisfatoriamente resolvida pelo CBSA. O cumprimento da Declaração de Compromisso será objecto de uma revisão conjunta anual, efectuada pelo CBSA e por uma equipa liderada pela Comissão.

(23) Num interesse de transparência e para salvaguardar a capacidade de as autoridades competentes nos Estados-Membros assegurarem a protecção das pessoas no que diz respeito ao tratamento de dados pessoais, é necessário precisar as circunstâncias excepcionais em que a suspensão de transferências concretas de dados se pode justificar, apesar de verificado o nível de protecção adequado.

(24) O grupo de trabalho «Protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais», criado pelo artigo 29.o da Directiva 95/46/CE, emitiu pareceres sobre o nível de protecção previsto pelas autoridades canadianas para os dados dos passageiros, os quais foram tidos em devida conta pela Comissão nas suas negociações com o CBSA. A Comissão toma nota destes pareceres na preparação da presente decisão (4).

(25) As medidas previstas pela presente decisão estão em conformidade com o parecer do Comité estabelecido pelo n.o 1 do artigo 31.o da Directiva 95/46/CE,

ADOPTOU A PRESENTE DECISÃO:

Artigo 1.o

Para efeitos do n.o 2 do artigo 25.o da Directiva 95/46/CE, considera-se que o Canadian Customs Border Services Agency (em seguida referido como CBSA) assegura um nível adequado de protecção dos dados dos PNR transferidos a partir da Comunidade no que diz respeito a voos com destino ao Canadá, em conformidade com a Declaração de Compromisso que figura no Anexo.

Artigo 2.o

A presente decisão diz respeito ao nível adequado de protecção assegurado pelo CBSA, a fim de dar cumprimento ao disposto no n.o 1 do artigo 25.o da Directiva 95/46/CE, e não afectará outras condições ou restrições à aplicação de outras disposições da referida directiva relativas ao tratamento de dados pessoais nos Estados-Membros.

Artigo 3.o

1. Sem prejuízo dos poderes das autoridades competentes dos Estados-Membros no que se refere à adopção de medidas para garantir o respeito das disposições nacionais adoptadas por força de outras disposições para além das previstas no artigo 25.o da Directiva 95/46/CE, as referidas autoridades podem exercer os poderes de que dispõem para suspender a transferência de dados para o CBSA, a fim de proteger as pessoas no que respeita ao tratamento dos seus dados pessoais, quando:

a) uma autoridade competente do Canadá verifique que o CBSA desrespeita as normas de protecção aplicáveis; ou

b) seja altamente provável que as normas de protecção definidas no anexo não estejam a ser cumpridas, existam motivos suficientes para crer que o CBSA não toma ou não tomará as decisões adequadas na altura devida para resolver o caso em questão, a continuação da transferência dos dados implique o risco iminente de causar graves prejuízos às pessoas em causa e as autoridades competentes dos Estados-Membros tenham envidado esforços razoáveis, dadas as circunstâncias, para facultar ao CBSA informação e oportunidade para responder.

2. A suspensão cessará assim que o respeito das normas de protecção estiver assegurado e as autoridades competentes do Estado Membro em questão sejam disso informadas.

Artigo 4.o

1. Os Estados-Membros devem informar imediatamente a Comissão da adopção de medidas ao abrigo do artigo 3.o

2. Os Estados-Membros e a Comissão devem ainda manter-se mutuamente informados de qualquer alteração nas normas de protecção e dos casos em que os organismos responsáveis por assegurar o cumprimento, pelo CBSA, das normas de protecção constantes do anexo não assegurem convenientemente esse mesmo cumprimento.

3. Se a informação recolhida nos termos do artigo 3.o e dos n.os 1 e 2 do presente artigo demonstrar que os princípios básicos necessários a um nível adequado de protecção das pessoas singulares não estão a ser respeitados, ou que os organismos responsáveis por assegurar o cumprimento das normas de protecção pelo CBSA não desempenham eficazmente as suas funções, o CBSA deverá ser informado e, se necessário, o procedimento referido no n.o 2 do artigo 31.o da Directiva 95/46/CE será aplicado, com vista a revogar ou suspender a presente decisão.

Artigo 5.o

A aplicação da presente decisão deverá ser avaliada e quaisquer conclusões pertinentes serão comunicadas ao comité criado em conformidade com o artigo 31.o da Directiva 95/46/CE, nomeadamente todas as provas que possam afectar a afirmação do artigo 1.o da presente decisão, segundo a qual o nível de protecção dos dados pessoais contidos nos PNR dos passageiros transferidos para o CBSA é adequado, na acepção do artigo 25.o da Directiva 95/46/CE.

Artigo 6.o

Os Estados-Membros tomarão todas as medidas necessárias para dar cumprimento à presente decisão, no prazo de quatro meses após a data da sua notificação.

Artigo 7.o

A presente decisão expirará três anos e seis meses após a data da sua notificação, a menos que seja prorrogada nos termos do procedimento definido no n.o 2 do artigo 31.o da Directiva 95/46/CE.

Artigo 8.o

Os Estados-Membros são os destinatários da presente decisão.

Feito em Bruxelas, em 6 de Setembro de 2005. Pela Comissão Franco FRATTINI Vice-Presidente

(1) JO L 281 de 23.11.1995, p. 31. Directiva alterada pelo Regulamento (CE) n.o 1882/2003 (JO L 284 de 31.10.2003, p. 1).

(2) Para efeitos da presente decisão, o termo «PNR» inclui dados provenientes do Advance Passenger Information (API) como previsto na secção 4 do documento Commitments do CBSA.

(3) Passenger Information (Customs) Regulations e Regulation 269 das Immigration and Refugee Protection Regulations.

(4) Parecer 3/2004 sobre o nível de protecção garantido no Canadá para a transferência de dados dos passageiros (PNR) e de dados provenientes do Advance Passenger Information provenientes das companhias aéreas, adoptado pelo Grupo de Trabalho em 11 de Fevereiro de 2004, disponível em: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2004/wp88_en.pdf

Parecer 1/2005 sobre o nível de protecção garantido no Canadá para a transferência de dados dos passageiros (PNR) e de dados provenientes do Advance Passenger Information provenientes das companhias aéreas, adoptado pelo Grupo de Trabalho em 19 de Janeiro de 2005, disponível em: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2005/wp103_en.pdf