RO Jurnalul Oficial al Uniunii Europene C 51/12

Rezumatul Avizului Autorității Europene pentru Protecția Datelor privind propunerile referitoare la încheierea unui Acord între Canada și Uniunea Europeană privind transferul și prelucrarea datelor din registrul cu numele pasagerilor

(Textul integral al avizului poate fi consultat în EN, FR și DE pe site-ul AEPD http://www.edps.europa.eu)

(2014/C 51/06)

I. Consultarea AEPD

1. La 19 iulie 2013, Comisia Europeană a adoptat propunerile de decizii ale Consiliului privind încheierea și semnarea Acordului între Canada și Uniunea Europeană privind transferul și prelucrarea datelor din registrul cu numele pasagerilor (1) (denumite în continuare: „propunerile”), care conțin textul propunerii de acord între Canada și Uniunea Europeană (denumit în continuare: „acordul”). Propunerile au fost trimise AEPD la 23 iulie 2013.

2. AEPD a avut, de asemenea, ocazia de a-și prezenta avizul înainte de adoptarea propunerilor. AEPD salută această consultare prealabilă. Totuși, deoarece a avut loc după încheierea negocierilor, contribuția AEPD nu a putut fi luată în considerare. Prezentul aviz are la bază observațiile prezentate cu acea ocazie.

II. Observații generale

3. Astfel cum a afirmat și cu alte ocazii (2), AEPD pune sub semnul întrebării necesitatea și proporționalitatea sistemelor PNR și ale transferurilor de date PNR în volum are către țări terțe. Ambele sunt condiții impuse de Carta UE și de Convenția europeană a drepturilor omului în legătură cu orice limitare a drepturilor fundamentale, inclusiv a drepturilor la respectarea vieții private și protecția datelor cu caracter personal (3). Potrivit jurisprudenței, nu doar motivele prezentate de autoritatea publică pentru a justifica orice astfel de restricție ar trebui să fie relevante și suficiente (4), ci ar trebui să se demonstreze, de asemenea, că alte metode cu un caracter mai puțin invaziv nu sunt disponibile (5). Până în prezent, AEPD nu a observat elemente convingătoare care să demonstreze necesitatea și proporționalitatea prelucrării masive și de rutină a datelor referitoare la pasagerii care nu prezintă suspiciuni, în scopul aplicării legii.

4. Cu toate acestea, AEPD salută garanțiile privind protecția datelor prevăzute în acord, deși regretă faptul că perioada de păstrare a fost prelungită față de acordul PNR anterior cu Canada.

5. AEPD salută, de asemenea, eforturile depuse de Comisie în legătură cu supravegherea și căile de atac în contextul constrângerilor determinate de natura acordului. Totuși, AEPD își exprimă preocuparea cu privire la faptul că în unele cazuri calea de atac poate fi reprezentată de o autoritate internă care nu este independentă. AEPD pune, de asemenea, sub semnul întrebării adecvarea unui acord executiv pentru asigurarea unor drepturi adecvate și efective persoanelor vizate.

6. Acordul reglementează utilizarea de către „autoritatea canadiană competentă” a datelor PNR transferate de transportatorii aerieni din UE și de alți transportatori aerieni care operează zboruri cu plecare din UE (6). AEPD recomandă solicitarea confirmării că nicio altă autoritate canadiană nu poate accesa direct sau solicita datele PNR operatorilor respectivi, eludând astfel acordul.

IV. Concluzie

47. Astfel cum a afirmat anterior, AEPD pune sub semnul întrebării necesitatea și proporționalitatea sistemelor PNR și ale transferurilor de date PNR în volum mare către țări terțe. AEPD pune, de asemenea, sub semnul întrebării alegerea temeiului juridic și recomandă ca propunerile să fie întemeiate pe articolul 16 din TFUE, în coroborare cu articolul 218 alineatul (5) și articolul 218 alineatul (6) litera (a) din TFUE.

48. AEPD își exprimă, de asemenea, preocuparea cu privire la disponibilitatea limitată a căilor de atac administrative independente și a unui control judiciar complet pentru cetățenii UE care nu sunt prezenți pe teritoriul Canadei și pune sub semnul întrebării adecvarea unui acord executiv în acest sens. AEPD recomandă, de asemenea, solicitarea confirmării că nicio altă autoritate canadiană nu poate accesa direct sau solicita datele PNR transportatorilor aerieni care intră sub incidența acordului.

49. În ceea ce privește dispozițiile specifice ale acordului, AEPD salută garanțiile incluse privind protecția datelor. Totuși, acordul ar trebui: — să excludă complet prelucrarea datelor sensibile; — să prevadă ștergerea sau anonimizarea datelor imediat după analiză și în cel mult 30 de zile de la primire și, în orice caz, reducerea și justificarea perioadei propuse de păstrare care a fost prelungită față de acordul PNR anterior cu Canada; — să limiteze categoriile de date PNR care urmează să fie prelucrate; — să menționeze explicit că supravegherea generală va fi efectuată de o autoritate independentă.

50. În plus, AEPD recomandă specificarea următoarelor, fie în acord, fie în documentele de însoțire: — să se restrângă și să se clarifice în mai mare măsură conceptele care definesc scopul acordului; — să se clarifice ce tipuri de discriminare „legală” ar putea fi posibile; — să se prevadă o obligație de notificare a încălcării securității datelor Comisiei Europene și autorităților pentru protecția datelor; — să se completeze dispozițiile privind transparența; — să se extindă interdicția de a decide exclusiv pe baza prelucrării automate la toate deciziile care afectează pasagerii în temeiul acordului; — să se specifice căror autorități din Canada le pot fi transferate în continuare datele PNR, cu adăugarea cerinței privind o autorizare judiciară prealabilă sau privind existența unei amenințări imediate, fiind prevăzută obligația de a include garanții adecvate privind protecția datelor în acordurile sau convențiile cu alte țări sau autorități destinatare și notificarea Comisiei Europene și a autorităților de protecție a datelor din UE cu privire la acestea; — să se desemneze autoritățile relevante și să se stabilească sancțiuni descurajante pentru neconformitatea cu acordul; — să se specifice care sunt mecanismele pe care le au la dispoziție persoanele care nu sunt rezidente în Canada pentru a solicita un control judiciar în temeiul legislației canadiene; — să se clarifice dacă dreptul la control judiciar poate fi exercitat chiar dacă decizia relevantă nu a fost comunicată persoanei vizate, în special dacă dispozițiile acordului, altele decât cele legate de acces și rectificarea/adnotarea sunt încălcate; — să se specifice la ce „alte căi de atac care pot include despăgubirea” se face referire la articolul 14 alineatul (2); — să se specifice frecvența analizelor punerii în aplicare a acordului, conținutul acestora (inclusiv cu privire la evaluarea necesității și proporționalității acordului) și să se includă în mod explicit autoritățile de protecție a datelor din UE în echipa UE de analiză.

Adoptat la Bruxelles, 30 septembrie 2013. Peter HUSTINX Autoritatea Europeană pentru Protecția Datelor

(1) COM(2013) 529 final.

(2) A se vedea Avizul AEPD din 9 decembrie 2011 referitor la propunerea de decizie a Consiliului privind încheierea Acordului între Statele Unite ale Americii și Uniunea Europeană privind utilizarea și transferul de date din registrele cu numele pasagerilor către Departamentul pentru Securitate Internă al Statelor Unite, JO C 35, 9.2.2012, p. 16; Avizul din 15 iulie 2011 referitor la propunerea de decizie privind încheierea unui acord între Uniunea Europeană și Australia privind prelucrarea și transferul de date din registrele cu numele pasagerilor (PNR) de către transportatorii aerieni către Serviciul vamal și de protecție a frontierelor din Australia, JO C 322, 23.12.2011, p. 1; Avizul AEPD din 25 martie 2011 privind propunerea de directivă a Parlamentului European și a Consiliului privind utilizarea datelor din registrul cu numele pasagerilor pentru prevenirea, depistarea, cercetarea și urmărirea penală a infracțiunilor de terorism și a infracțiunilor grave; Avizul din 19 octombrie 2010 privind abordarea globală privind transferul de date din registrul cu numele pasagerilor (PNR) către țările terțe; Avizul din 20 decembrie 2007 privind propunerea de decizie-cadru a Consiliului privind utilizarea datelor din registrul cu numele pasagerilor (PNR) în scopul aplicării legii, JO C 110, 1.5.2008, p. 1; Avizul din 15 iunie 2005 privind propunerea de decizie a Consiliului privind încheierea unui acord între Comunitatea Europeană și Guvernul Canadei privind prelucrarea informațiilor prealabile referitoare la pasageri (API)/datelor din registrul cu numele pasagerilor (PNR), JO C 218, 6.9.2005, p. 6 (toate disponibile la: http://www.edps.europa.eu/EDPSWEB/edps/cache/bypass/Consultation/OpinionsC). A se vedea, de asemenea, avizele Grupului de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, disponibile la: http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/index_en.htm#data_transfers

(3) A se vedea articolele 7 și 8 și articolul 52 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene (JO C 83, 30.3.2010, p. 389) și articolul 8 din Convenția pentru protecția drepturilor omului și a libertăților fundamentale (ETS nr. 5), Consiliul Europei, 4 noiembrie 1950.

(4) A se vedea Hotărârea Curții Europene a Drepturilor Omului din 4 decembrie 2008, S. și Marper/Regatul Unit.

(5) A se vedea Hotărârea Curții Europene de Justiție din 9 noiembrie 2010, C-92/09 Volker și Markus Schecke GbR/Land Hessen și C-93/09 Eifert/Land Hessen și Bundesansalt für Landwirtschaft und Ernährung.

(6) A se vedea expunerea de motive a propunerilor și articolul 3 alineatul (1) din acord.