ODLOČBA KOMISIJE

z dne 14. maja 2004

o ustreznem varstvu osebnih podatkov, vsebovanih v Evidenci imen letalskih potnikov, posredovani Uradu za carinsko in mejno zaščito Združenih držav Amerike

(notificirana pod dokumentarno številko K(2004) 1914)

(Besedilo velja za EGP)

(2004/535/ES)

KOMISIJA EVROPSKIH SKUPNOSTI JE –

ob upoštevanju Pogodbe o ustanovitvi Evropske skupnosti,

ob upoštevanju Direktive 95/46/ES Evropskega parlamenta in Sveta z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (1), in zlasti člena 25(6) Direktive,

ob upoštevanju naslednjega:

V skladu z Direktivo 95/46/ES je treba raven varstva podatkov oceniti ob upoštevanju vseh okoliščin, povezanih s postopkom posredovanja ali z nizom postopkov posredovanja podatkov, ob tem pa posebej paziti na vrsto okoliščin, ki vplivajo na posredovanje in so naštete v členu 25(2) Direktive.

V letalskem prometu je „Evidenca imen letalskih potnikov“ (Passenger Name Record, v nadaljevanju PNR) zbirka zahtevanih podatkov za potovanje posameznega potnika, ki vsebuje vse potrebne informacije, s katerimi lahko „glavna“ letalska družba in udeležene letalske družbe obdelujejo in nadzorujejo rezervacije. Za namene te odločbe, izraza „potnik“ in „potniki“ vključujeta tudi člane posadke. „Glavna letalska družba“ je letalska družba, pri kateri je potnik prvotno rezerviral let ali pri kateri je rezerviral dodatne lete po začetku potovanja. „Udeležene letalske družbe“ so katere koli letalske družbe, pri katerih je glavna letalska družba na enem ali več letih zaprosila za mesto, ki naj se hrani za potnika.

Urad za carinsko in mejno zaščito Združenih držav (United States Bureau of Customs and Border Protection, v nadaljevanju Urad CBP) Ministrstva za domovinsko varnost (Department of Homeland Security, v nadaljevanju DHS) zahteva od vsakega prevoznika, ki opravlja potniške lete v okviru tujega letalskega prevozništva v smeri proti in iz Združenih držav, da mu omogoča elektronski dostop do PNR, tako da se PNR zbere in shrani v avtomatski rezervacijski sistem letalskega prevoznika.

Zahteve, da se osebni podatki o letalskih potnikih iz PNR posredujejo Uradu CBP, temeljijo na zakonu, ki so ga sprejele Združene države novembra 2001 (2) , in na izvedbenih uredbah, ki jih je v okviru tega zakona sprejel Urad CBP (3) .

Zadevna zakonodaja Združenih držav obravnava povečanje varnosti in pogoje, pod katerimi lahko posamezniki vstopijo v državo in jo zapustijo, torej zadeve, nad katerimi imajo Združene države v okviru lastne jurisdikcije suvereno pristojnost odločanja. Poleg tega podane zahteve niso v neskladju s katerimi koli mednarodnimi obveznostmi, ki so jih prevzele Združene države. Združene države so demokratična in pravna država z močno tradicijo državljanskih svoboščin. Nikakršen dvom ne obstaja glede legitimnosti njihovega zakonodajnega postopka ter moči in neodvisnosti njihovega sodstva. Svoboda tiska je še dodatno trdno jamstvo proti zlorabi državljanskih svoboščin.

Skupnost v celoti podpira Združene države v boju proti terorizmu v skladu z omejitvami, ki jih postavlja pravo Skupnosti. Pravo Skupnosti omogoča vzpostavitev potrebnega ravnotežja med pomisleki glede varnosti in skrbjo za varstvo zasebnosti. Na primer: člen 13 Direktive 95/46/ES določa, da lahko države članice sprejmejo predpise za omejitev obsega nekaterih zahtev te direktive, če je to potrebno zaradi državne varnosti, obrambe, javne varnosti ter preprečevanja, preiskovanja, odkrivanja in preganjanja kaznivih dejanj.

Zadevna posredovanja podatkov vključujejo točno določene upravljavce, in sicer letalske družbe, ki opravljajo lete med Skupnostjo in Združenimi državami, in zgolj enega prejemnika v Združenih državah, in sicer Urad CBP.

Katero koli ureditev glede vzpostavitve pravnega okvira za posredovanja PNR Združenim državam, zlasti v okviru te direktive, je treba časovno omejiti. Sprejet je bil dogovor za tri in pol letno obdobje. Tekom tega obdobja se lahko okoliščine znatno spremenijo; Skupnost in Združene države se strinjajo, da bo potrebna revizija ureditve.

Urad CBP obdela prejete osebne podatke, vsebovane v evidenci imen letalskih potnikov PNR, v skladu s pogoji, določenimi v Zavezah Urada za carinsko in mejno zaščito (CBP) Ministrstva za domovinsko varnost z dne 11. maja 2004 (v nadaljevanju imenovane „Zaveze“) in v domači zakonodaji Združenih držav, v obsegu, podanem v Zavezah.

Kar zadeva domačo zakonodajo v Združenih državah, je Zakon o prostem dostopu do informacij (Freedom of Information Act, v nadaljevanju FOIA) v tem kontekstu uporaben v toliko, da nadzira pogoje, pod katerimi lahko Urad CBP zavrne zahteve za razkritje informacij, s čimer ostane PNR zaupen. Zakon ureja razkritje PNR posamezniku, na katerega se evidenca nanaša, kar je tesno povezano s pravico dostopa do podatkov posameznika, na katerega se osebni podatki nanašajo. Zakon FOIA se uporablja brez razlik za državljane Združenih držav in državljane drugih držav.

Kar zadeva Zaveze in v skladu z odstavkom 44 le teh, izjave iz Zavez so bile ali bodo vključene v zakone, uredbe, direktive ali druge politične instrumente v Združenih državah, in bodo tako imele pravni učinek na različnih ravneh. Zaveze bodo v celoti objavljene v Zveznem registru v pristojnosti DHS. Kot take predstavljajo resno in dobro premišljeno politično zavezo s strani DHS; Združene države in Skupnost pa bodo v skupnem pregledu preučile njihovo upoštevanje. Neupoštevanje bi bilo mogoče ustrezno izpodbijati po pravnih, upravnih in političnih poteh in če bi bilo vztrajno, bi lahko privedlo do prekinitve učinkov te direktive.

Kar zadeva načelo o omejitvi namena, se bodo osebni podatki letalskih potnikov, vsebovani v zapisih PNR in posredovani Uradu CBP, obdelali za poseben namen, nato pa se bodo uporabili ali nadalje posredovali samo v toliko, kolikor to ne bo v nasprotju z namenom posredovanja. Zlasti se bodo podatki PNR uporabili izključno za namene preprečevanja in boja proti: terorizmu in z njim povezanimi kaznivimi dejanji; drugim hudim kaznivim dejanjem, vključno z organiziranim kriminalom, ki so po naravi transnacionalna; in proti izogibanju sodnim nalogom ali priporu zaradi navedenih kaznivih dejanj.

Zaradi načela kakovosti in sorazmernosti podatkov, ki ga je treba upoštevati v zvezi s pomembnimi razlogi javnega interesa, zaradi katerih se posredujejo podatki PNR, posredovanih podatkov PNR Urad CBP ne bo spremenil. Preneslo se bo največ 34 kategorij podatkov PNR in organi Združenih držav se bodo posvetovali s Komisijo, preden bodo dodali kakršne koli nove zahteve. Dodatne osebne informacije, iskane neposredno na podlagi podatkov PNR, bodo pridobljene prek nedržavnih virov samo po zakonitih poteh. Kot splošno pravilo bo PNR izbrisan po največ treh letih in šestih mesecih, razen podatkov, ki so bili pregledani zaradi specifičnih preiskav ali so bili drugače ročno pregledani.

Priznajo se pravice dostopa in spreminjanja, da posameznik, na katerega se podatki nanašajo, lahko zahteva kopijo podatkov PNR in popravek netočnih podatkov. Predvidene izjeme so v širšem smislu primerljive z omejitvami, ki jih lahko določijo države članice v skladu s členom 13 Direktive 95/46/ES.

Nadaljnja posredovanja se bodo izvršila drugim vladnim organom, vključno s tujimi vladnimi organi, katerih naloga je boj proti terorizmu ali uveljavljanje zakona, in sicer odvisno od primera do primera, za namene, ki ustrezajo tistim, določenim v izjavi o omejitvi namena. Posredovanja se lahko izvršijo tudi zaradi varovanja ključnih interesov posameznika, na katerega se nanašajo podatki, ali drugih oseb, zlasti glede pomembnih zdravstvenih tveganj, ali v okviru kakršnih koli kazenskih postopkov ali, če to sicer zahteva zakon. Prejemne agencije morajo, v skladu z jasno določenimi pogoji razkritja podatkov, podatke uporabiti izključno v navedene namene in jih ne smejo posredovati dalje brez soglasja Urada CBP. Nobena druga tuja, zvezna, državna ali lokalna agencija nima neposrednega elektronskega dostopa do podatkov PNR preko zbirk podatkov Urada CBP. Urad CBP bo zavrnil javno razkritje zapisov PNR na podlagi izjem od ustreznih določb Zakona FOIA.

Urad CBP ne uporablja občutljivih podatkov v smislu člena 8 Direktive 95/46/ES, in dokler ni vzpostavljen sistem filtrov za ločevanje takšnih podatkov od zapisov PNR, posredovanih Združenim državam, se Urad CBP zaveže(1), da bo uvedel ukrepe za njihov izbris in da jih v tem času ne bo uporabljal.

Glede mehanizmov izvrševanja za zagotavljanje spoštovanja načel s strani Urada CBP, je za usposabljanje in obveščanje osebja Urada CBP poskrbljeno, prav tako tudi za sankcije za posamezne člane osebja. Spoštovanje zasebnosti s strani Urada CBP bo na splošno pod nadzorom vodje Službe za varstvo zasebnosti (Chief Privacy Officer) pri DHS, ki je uradnik DHS, ima pa visoko stopnjo organizacijske samostojnosti in mora vsako leto poročati Kongresu. Posamezniki, katerih podatki PNR so bili posredovani, lahko naslovijo pritožbo na Urad CBP ali v primeru, da pritožba ni bila rešena, na vodjo Službe za varstvo zasebnosti pri DHS, neposredno ali prek organov za varstvo podatkov v državah članicah. Služba za varstvo zasebnosti pri DHS bo po pospešenem postopku obravnavala pritožbe, predložene s strani organov za varstvo podatkov v državah članicah, v imenu oseb s prebivališčem v Skupnosti, če katera od teh oseb meni, da Urad CBP ali Služba za varstvo zasebnosti pri DHS, nista zadovoljivo preučila njene pritožbe. Letni skupni pregled, ki ga bosta izvedla Urad CBP, v povezavi z DHS, in skupina pod vodstvom Komisije, bo preveril skladnost z Zavezami.

Zaradi preglednosti in zato, da se zaščiti sposobnost pristojnih organov držav članic, da zagotovijo varstvo posameznikov v zvezi z obdelavo njihovih osebnih podatkov, je treba določiti izjemne okoliščine, v katerih se lahko upraviči prekinitev pridobivanja in posredovanja specifičnih podatkov, ne glede na ugotovljeno ustrezno varstvo.

Ukrepi, predvideni s to odločbo, so v skladu z mnenjem Odbora, ustanovljenega v skladu s členom 31(1) Direktive 95/46/ES –

SPREJELA NASLEDNJO ODLOČBO:

Člen 1

Za namene člena 25(2) Direktive 95/46/ES velja, da Urad za carinsko in mejno zaščito Združenih držav (United States’ Bureau of Customs and Border Protection, v nadaljevanju CBP) zagotavlja primerno raven varstva za podatke PNR, prenesene iz Skupnosti, v zvezi z leti v smeri proti in iz Združenih držav, v skladu z Zavezami, določenimi v Prilogi I.

Člen 2

Ta odločba zadeva ustreznost varstva, ki ga zagotavlja Urad CBP, z namenom spoštovati zahteve iz člena 25(1) Direktive 95/46/ES in ne bo vplivala na druge pogoje ali omejitve za izvajanje drugih določb navedene direktive, ki zadevajo obdelavo osebnih podatkov znotraj držav članic.

Člen 3

1. Brez poseganja v njihove pristojnosti za sprejem ukrepov za zagotavljanje skladnosti z nacionalnimi določbami, ki so bile sprejete na podlagi drugih določb, razen člena 25 Direktive 95/46/ES, lahko pristojni organi v državah članicah uporabijo svoja obstoječa pooblastila, da prekinejo posredovanje podatkov Uradu CBP zato, da bi zavarovali posameznike v zvezi z obdelavo njihovih osebnih podatkov, v naslednjih primerih:

če obstaja znatna možnost, da so kršeni standardi varstva, določeni v Prilogi, obstajajo upravičeni razlogi za prepričanje, da Urad CBP ne sprejema ali ne bo sprejel ustreznih in pravočasnih ukrepov za rešitev zadevnega vprašanja, stalni prenos podatkov bi ustvaril neposredno nevarnost za povzročitev hude škode posameznikom, na katere se podatki nanašajo, in so se pristojni organi v državah članicah primerno trudili, da bi v danih okoliščinah obvestili Urad CBP in mu dali priložnost, da se odzove.

2. Začasna prekinitev se konča takoj, ko so zagotovljeni standardi varstva in je pristojni organ države članice o tem obveščen.

Člen 4

1. Države članice nemudoma obvestijo Komisijo, ko sprejmejo ukrepe v skladu s členom 3.

2. Države članice in Komisija se medsebojno obveščajo o katerih koli spremembah v standardih varstva in o primerih, v katerih ukrepi organov, odgovornih za zagotavljanje skladnosti s standardi varstva s strani Urada CBP, določenimi v Prilogi, ne uspejo zagotoviti take skladnosti.

3. Če informacije, ki so zbrane v skladu s členom 3 in z odstavkoma 1 in 2 tega člena, dokazujejo, da se osnovna načela, potrebna za primerno raven varstva za fizične osebe, ne spoštujejo več, ali da kateri koli organ, odgovoren za zagotavljanje skladnosti s standardi varstva s strani Urada CBP, kot so določeni v Prilogi, ne izpolnjuje učinkovito svoje vloge, se obvesti Urad CBP in se po potrebi uporabi postopek iz člena 31(2) Direktive 95/46/ES z namenom razveljaviti ali prekiniti izvajanje te odločbe.

Člen 5

Izvajanje te odločbe se spremlja in kakršne koli uporabne ugotovitve se posredujejo Odboru, ustanovljenem v skladu s členom 31 Direktive 95/46/ES, vključno s katerimi koli dokaznimi dejstvi, ki bi lahko vplivali na ugotovitev iz člena 1 te odločbe, da je varstvo osebnih podatkov o letalskih potnikih v PNR, posredovanih Uradu CBP, ustrezno v smislu člena 25 Direktive 95/46/ES.

Člen 6

Države članice sprejmejo vse potrebne ukrepe za uskladitev z Odločbo v roku štirih mesecev od datuma uradnega obvestila o Odločbi.

Člen 7

Veljavnost te odločbe poteče tri leta in šest mesecev po datumu uradnega obvestila, razen če se v skladu s postopkom iz člena 31(2) Direktive 95/46/ES ne podaljša.

Člen 8

Ta odločba je naslovljena na države članice.

(1) UL L 281, 23.11.1995, str. 31. Direktiva, kot je bila spremenjena z Uredbo (ES) št. 1882/2003 (UL L 284, 31.10.2003, str. 1).

(2) Title 49, United States Code, section 44909(c)(3).

(3) Title 19, Code of Federal Regulations, section 122.49b.

(4) Mnenje 6/2002 o prenosu očitnih informacij o potnikih in drugih podatkov s strani letalskih družb Združenim državam, sprejeto s strani delovne skupine 24. oktobra 2002, na voljo na spletni strani: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2002/wp66_en.pdf

Mnenje 4/2003 o ravni varstva, zagotovljeni v Združenih državah za prenos podatkov o potnikih, sprejeto s strani delovne skupine 13. junija 2003, na voljo na spletni strani: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2003/wp78_en.pdf

Mnenje 2/2004 o ustreznem varstvu osebnih podatkov, vsebovanih v zapisih podatkov o letalskih potnikih PNR za prenos Uradu za carinsko in mejno zaščito Združenih držav (US CBP), sprejeto s strani delovne skupine 29. januarja 2004, na voljo na spletni strani: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2004/wp87_en.pdf

PRILOGA

ZAVEZE URADA ZA CARINSKO IN MEJNO ZAŠČITO (BUREAU OF CUSTOMS AND BORDER PROTECTION – URADA CBP) MINISTRSTVA ZA DOMOVINSKO VARNOST

V podporo načrtu Evropske komisije (Komisije) o izvajanju pooblastil, ki so ji bila dodeljena s členom 25(6) Direktive 95/46/ES (Direktive), in o sprejetju odločbe, s katero bo potrjeno, da Urad CBP Ministrstva za domovinsko varnost nudi ustrezno varstvo pri posredovanju evidence imen letalskih potnikov (1) (PNR) s strani letalskih prevoznikov, v okviru Direktive, se Urad CBP zavezuje:

Pravni naslov za pridobitev PNR

1. V skladu z zakonom (title 49, United States Code, section 44909(c)(3)) in izvedbenimi (začasnimi) zakonskimi predpisi (title 19, Code of Federal Regulations, section 122.49b), mora vsak letalski prevoznik, ki opravlja potniške lete v Združene države ali iz njih, Uradu za carinsko in mejno zaščito (ki se je predhodno imenoval Carinska služba Združenih držav) omogočiti elektronski dostop do podatkov PNR v takšni meri, kot so ti zbrani in se nahajajo v avtomatskih rezervacijskih sistemih oziroma sistemih za nadzor odhodov pri letalskem prevozniku („rezervacijski sistemi“).

Uporaba podatkov PNR s strani Urada CBP

2. Večino elementov podatkov PNR lahko Urad CBP sicer dobi ob pregledu letalske vozovnice posameznika, na katerega se podatki nanašajo, ter drugih potovalnih dokumentov, na podlagi običajnega pooblastila za nadzor meje, vendar pa bo možnost, da Urad CBP prejme te podatke na elektronski način, zelo povečala njegovo sposobnost, da olajša dobronamerno potovanje in izvede smotrno in učinkovito vnaprejšnjo oceno tveganja v zvezi s potniki.

3. Urad CBP uporablja podatke PNR izrecno za namene preprečevanja in boja proti (1) terorizmu in z njim povezanimi kaznivimi dejanji, (2) drugim hudim kaznivim dejanjem, vključno z organiziranim kriminalom, ki so po naravi transnacionalna, in (3) izogibanju sodnim nalogom ali priporu zaradi zgoraj navedenih kaznivih dejanj. Uporaba podatkov PNR v te namene omogoča Uradu CBP, da se usmeri na zadeve, ki pomenijo visoko stopnjo tveganja ter tako olajša in zavaruje dobronamerno potovanje.

Zahtevani podatki

4. Elementi podatkov, ki jih zahteva Urad CBP, so našteti v Dodatku „A“. (V nadaljevanju se ti določeni elementi imenujejo „podatki PNR“ za namene teh zavez.) Čeprav Urad CBP zahteva dostop do vsakega od teh štiriintridesetih (34) elementov podatkov, naštetih v Dodatku „A“, Urad CBP meni, da bodo posamezne evidence PNR redkokdaj vključevale vse določene elemente podatkov. V primerih, ko PNR ne bodo vsebovali vseh določenih elementov podatkov, Urad CBP ne bo zahteval neposrednega dostopa prek rezervacijskega sistema do drugih podatkov PNR, ki niso našteti v Dodatku „A“.

5. V zvezi z elementi podatkov, določenimi kot „Druge informacije v zvezi s storitvami“ (OSI) in „Dodatne informacije oziroma posebne zahteve v zvezi s storitvami“ (SSI/SSR) (ki so običajno označeni kot splošne opombe in odprta polja), bo avtomatski sistem Urada CBP preiskal ta polja za kakršne koli druge elemente podatkov, določene v Dodatku „A“. Uslužbenci Urada CBP ne bodo pooblaščeni za ročni pregled celotnih polj OSI in SSI/SSR, razen v primeru, da je Urad CBP posameznika, na katerega se PNR nanaša, označil kot osebo, ki predstavlja visoko stopnjo tveganja glede na namene, določene v odstavku 3.

6. Dodatne osebne informacije, iskane neposredno na podlagi podatkov PNR, bodo pridobljene prek nedržavnih virov samo po zakonitih poteh, po potrebi tudi po poteh medsebojne pravne pomoči, in zgolj za namene, opredeljene v odstavku 3. Če na primer PNR vsebuje številko kreditne kartice, se lahko iščejo informacije o transakcijah, v skladu z zakonitimi postopki, kot je sodni poziv pričam, ki ga izda velika porota, ali sodni nalog, ali kot je drugače dovoljeno z zakonom. Poleg tega bo dostop do podatkov, ki se nanašajo na elektronske naslove, pridobljene iz PNR, sledil zakonskim zahtevam Združenih držav za sodne pozive pričam, sodne naloge, naloge za odvzem prostosti in druge postopke, dovoljene z zakonom, glede na vrsto iskane informacije.

7. Urad CBP se bo posvetoval z Evropsko komisijo v zvezi s pregledom zahtevanih elementov podatkov PNR (Dodatek „A“) pred izvedbo kakršnega koli pregleda, če bo Urad CBP opazil dodatna polja evidenc PNR, ki jih letalski prevozniki lahko dodajo v svoje sisteme, in ki bi močno povečali sposobnost Urada CBP za ocenitev tveganja v zvezi s potniki ali, če bodo okoliščine pokazale, da je za izpolnitev omejenih namenov iz odstavka 3 teh zavez potrebno polje evidenc PNR, ki prej ni bilo zahtevano.

8. Urad CBP lahko Upravi za prometno varnost (Transport Security Administration – TSA) prenese PNR v celoti, ta pa ga uporabi za testiranje svojega računalniško podprtega sistema za predhodno kontrolo potnikov II (CAPPS II). Takšni prenosi bodo opravljeni šele potem, ko bo izdano dovoljenje za pregled podatkov PNR v zvezi s poleti znotraj ZDA. TSA ali katera koli druga stranka, ki je neposredno vključena v testiranje, ne bo obdržala podatkov PNR, prenesenih na podlagi te določbe, dlje kot je potrebno za testiranje, ter jih ne bo posredovala nobeni tretji stranki (2). Namen obdelovanja podatkov je strogo omejen na testiranje sistema in vmesnikov CAPPS II in, razen v izrednih razmerah, ki vključujejo pozitivno identifikacijo znanega terorista ali posameznika z ugotovljenimi povezavami s terorizmom, ne sme imeti nobenih praktičnih posledic. V skladu z določbo, ki v odstavku 10 zahteva metodo avtomatskega filtriranja podatkov, bo Urad CBP filtriral in izbrisal občutljive podatke, preden bo TSA v skladu s tem odstavkom prenesla kakršne koli PNR v celoti.

Ravnanje z „občutljivimi“ podatki

9. Urad CBP ne bo uporabil „občutljivih“ podatkov (tj. osebnih podatkov o rasni in etnični pripadnosti, političnih nazorih, verskih ali filozofskih prepričanjih, članstvu v sindikatu, ter podatkov v zvezi z zdravjem ali spolnim življenjem posameznika) iz evidenc PNR, kot je opisano spodaj.

10. Urad CBP bo z najmanjšo možno zamudo uporabljal avtomatski sistem filtriranja in brisanja določenih občutljivih PNR kod in izrazov, ki jih je Urad CBP določil v posvetovanju z Evropsko komisijo.

11. Urad CBP izjavlja, da dokler ne bo mogoče vzpostaviti takšnih avtomatskih filtrov, ne bo uporabljal „občutljivih“ podatkov PNR in jih bo izbrisal iz vsakršnega diskrecijskega razkritja PNR v skladu z odstavki 28–34 (3).

Metoda dostopanja do podatkov PNR

12. Kar se tiče podatkov PNR, ki jih Urad CBP pregleduje (ali prejema) neposredno prek rezervacijskega sistema z namenom identifikacije oseb, pri katerih je morda potrebna mejna kontrola, bodo uslužbenci Urada CBP pregledovali (ali prejemali) le tiste podatke PNR, ki se nanašajo na osebe, katerih potovanje vključuje let v ali iz Združenih držav (4).

13. Urad CBP bo pridobival podatke o potnikih prek rezervacijskih sistemov letalskih prevoznikov (t. i. sistem pridobivanja („pull“)) do trenutka, ko bodo letalski prevozniki sami sposobni posredovati podatke Uradu CBP (t. i. sistem posredovanja („push“)).

14. Urad CBP bo podatke v zvezi z določenim poletom pridobival največ 72 ur pred odhodom letala in bo ponovno pregledal sisteme največ trikrat (3) v času med prvim pridobivanjem, odhodom letala iz tujega kraja in prihodom letala v Združene države, ali med prvim pridobivanjem in odhodom letala iz Združenih držav, glede na vrsto leta, da bo ugotovil kakršne koli spremembe informacij. Ko bodo letalski prevozniki sposobni sami posredovati podatke PNR, bo moral Urad CBP dobiti podatke 72 ur pred odhodom letala, če bodo Uradu CBP posredovane tudi vse spremembe podatkov PNR, nastale med tem trenutkom in časom prihoda letala v Združene države oziroma odhoda iz Združenih držav (5). V izjemnem primeru, da Urad CBP vnaprej dobi informacije, da leti v, iz ali skozi Združene države oseba ali osebe, ki lahko predstavljajo nevarnost, lahko Urad CBP pridobi podatke PNR (ali zahteva njihovo posredovanje) prej kot 72 ur pred odhodom letala, da se zagotovi izvedba ustreznega ukrepa, če je to nujno potrebno, za preprečitev ali boj proti kaznivemu dejanju, navedenemu v odstavku 3. V primerih, da mora Urad CBP dobiti dostop do podatkov prej kot v 72 urah pred odhodom letala, bo Urad CBP, v kolikor je to izvedljivo, uporabil običajne načine uveljavljanja zakona.

Shranjevanje podatkov PNR

15. Če to odobri Državna arhivska in evidenčna uprava (44 U.S.C. 2101, in naslednje), bo Urad CBP pooblaščenim uradnikom (6) Urada CBP dovolil elektronski dostop do podatkov PNR za obdobje sedmih (7) dni, po tem pa bo uporabnikom, pooblaščenim za dostop do podatkov PNR, nadalje dovolil dostop za obdobje treh let in šest mesecev (3,5 let) od datuma dostopa do podatkov (ali prejema) iz rezervacijskega sistema letalskega prevoznika. Če v 3,5 letih podatki niso bili ročno pregledani, bodo po navedenem obdobju uničeni. Podatke PNR, ki v začetnem obdobju 3,5 let niso bili ročno pregledani, bo Urad CBP prenesel na datoteko izbrisanih evidenc (7), kjer bodo ostali za obdobje osmih (8) let, za tem pa uničeni. Ta razpored pa ne velja za podatke PNR, ki so povezani z evidenco o izvedbi specifičnega ukrepa (takšni podatki ostanejo dostopni do takrat, ko je evidenca o izvedbi specifičnega ukrepa arhivirana). Kar se tiče evidenc PNR, do katerih Urad CBP dostopa oziroma jih dobi neposredno od rezervacijskega sistema letalskega prevoznika v dneh začetka veljavnosti teh zavez, bo Urad CBP vztrajal pri politiki shranjevanja, opredeljeni v tem odstavku, ne glede na možno prenehanje zavez v skladu z odstavkom 46.

Varnost računalniškega sistema Urada CBP

16. Pooblaščeni uslužbenci Urada CBP dobijo dostop do evidenc PNR prek zaprtega intranetnega sistema, ki je šifriran med koncema, povezavo pa nadzira Center za carinske podatke. Dostop do podatkov PNR, shranjenih v zbirki podatkov Urada CBP, je za pooblaščene uslužbence omejen na dostop „le za branje“, kar pomeni, da bo lahko Urad CBP ob dostopu do rezervacijskega sistema letalskega prevoznika ponovno formatiral vsebino podatkov z ustreznim programom, nikakor pa ga ne bo vsebinsko spremenil.

17. Nobena druga tuja, zvezna, državna ali lokalna agencija nima neposrednega elektronskega dostopa do zbirk podatkov Urada CBP (ali do Znotraj-agencijskega mejnega nadzornega sistema (Interagency Border Inspection System (IBIS)).

18. Urad za notranje zadeve avtomatično zapisuje in rutinsko pregleduje podatke v zvezi z dostopom do informacij v zbirkah podatkov Urada CBP (tj. kdo, kje, kdaj (datum in čas) in vsakršne spremembe podatkov), da bi se preprečila nepooblaščena uporaba sistema.

19. Dostop do podatkov PNR lahko imajo zgolj določeni uradniki in uslužbenci Urada CBP oziroma pogodbeniki s področja informacijske tehnologije (8) (pod nadzorom Urada CBP), ki so uspešno prestali varnostno preverjanje in imajo delujoč, z geslom zaščiten naslov v računalniškem sistemu Urada CBP ter so uradno pooblaščeni za pregledovanje podatkov PNR.

20. Uradniki, uslužbenci in pogodbeniki Urada CBP morajo zaključiti usposabljanje v zvezi z varnostjo in zasebnostjo podatkov, dvakrat letno pa morajo opraviti tudi test. Revizija sistema Urada CBP se izvaja z namenom, da se zagotovita nadzor in skladnost z vsemi zahtevami glede zasebnosti in varnosti podatkov.

21. Nepooblaščen dostop do rezervacijskega sistema letalskega prevoznika ali računalniškega sistema Urada CBP z evidencami PNR s strani uslužbencev Urada CBP je podvržen strogemu disciplinskemu ukrepanju (kar lahko vključuje tudi prenehanje zaposlitve) in lahko ima za posledico kazenske sankcije (denarno kazen, zaporno kazen do enega leta, ali oboje) (glej title 18, United States Code, section 1030).

22. Politika in predpisi Urada CBP predvidevajo stroge disciplinske ukrepe (kar lahko vključuje tudi prenehanje zaposlitve) zoper vsakega uslužbenca Urada CBP, ki brez uradnega pooblastila razkrije podatke iz računalniškega sistema (title 19, Code of Federal Regulations, section 103.34).

23. Kazen (vključno z denarno kaznijo, zaporno kaznijo do enega leta, ali obojim) se lahko dodeli vsakemu uradniku ali uslužbencu v Združenih državah, ki razkrije podatke PNR, pridobljene v času zaposlitve, če to razkritje ni dovoljeno z zakonom (glej title 18, United States Code, sections 641, 1030, 1905).

Ravnanje in varstvo podatkov PNR s strani Urada CBP

24. Podatke PNR, ki se nanašajo na osebo s katerim koli državljanstvom ali stalnim prebivališčem v kateri koli državi, Urad CBP obravnava kot informacije občutljivega značaja, zaupne osebne informacije in kot zaupne poslovne informacije letalskega prevoznika, zato teh podatkov ne razkriva javnosti, razen v skladu s temi zavezami ali kadar to zahteva zakon.

25. Javno razkritje podatkov PNR na splošno ureja Zakon o prostem dostopu do informacij (FOIA) (title 5, United States Code, section 552), ki vsaki osebi (ne glede na državljanstvo ali državo prebivališča) dovoljuje dostop do evidenc Zvezne agencije Združenih držav, razen, če so te evidence (ali njihov del) pred javnim razkritjem zaščiteni z veljavno izjemo v okviru FOIA. Ena od izjem zakona FOIA je tudi ta, da zakon agenciji dovoljuje, da pred razkritjem zadrži evidenco (ali njen del), kadar je informacija zaupne poslovne narave, kadar bi razkritje informacij predstavljalo očitno neupravičen vdor v zasebnost ali kadar so informacije zbrane za namene uveljavljanja zakona, v kolikor bi bilo realno pričakovati, da bo razkritje pomenilo neupravičen vdor v zasebnost (title 5, United States Code, sections 552(b)(4), (6), (7)(C)).

26. Predpisi Urada CBP (naslov 19, Zakonik Združenih držav, oddelek 103.12), ki urejajo obravnavanje zahtev za informacije (kot so podatki PNR), v skladu z zakonom FOIA, izrecno določajo, da (razen v primeru določenih omejenih izjem, ko zahtevo vloži posameznik, na katerega se podatki nanašajo) zahteve po razkritju v okviru zakona FOIA ne veljajo za evidence Urada CBP, ki se nanašajo na: (1) zaupne poslovne informacije, (2) material, ki vključuje osebne zaupne podatke, pri katerih bi razkritje predstavljalo neupravičen vdor v zasebnost, in (3) informacije, zbrane za namene uveljavljanja zakona, kjer bi bilo realno pričakovati, da bo razkritje pomenilo neupravičen vdor v zasebnost (9).

27. V zvezi z vsakršnim upravnim ali sodnim postopkom, ki izhaja iz zahtevka v okviru zakona FOIA po podatkih PNR, do katerih je možen dostop prek letalskih prevoznikov, bo Urad CBP zavzel stališče, da so takšne evidence izvzete iz razkritja v okviru Zakona FOIA.

Prenos podatkov PNR na druge vladne organe

28. Z izjemo prenosov med Uradom CBP in TSA v skladu z odstavkom 8, bodo deli Ministrstva za domovinsko varnost (Department of Homeland Security – DHS) obravnavani kot „tretje agencije“, za katere veljajo ista pravila in pogoji za izmenjavo podatkov PNR kot za druge vladne organe zunaj DHS.

29. Urad CBP bo po lastni presoji posredoval podatke PNR drugim vladnim organom, vključno s tujimi vladnimi organi, katerih naloga je boj proti terorizmu ali uveljavljanje zakona, in sicer posamično, za namene preprečevanja ali boja proti kaznivim dejanjem, določenim v odstavku 3. (Organi, s katerimi lahko Urad CBP izmenjuje takšne podatke, bodo v nadaljevanju imenovani „pristojni organi“.)

30. Urad CBP bo preudarno uveljavljal svojo diskrecijsko pravico pri prenašanju podatkov za navedene namene. Urad CBP bo najprej presodil, ali razlog za razkritje podatkov PNR drugemu pristojnemu organu ustreza navedenemu namenu (glej odstavek 29 Zavez). Če bo ta pogoj izpolnjen, bo Urad CBP presodil, ali je pristojni organ odgovoren za preprečevanje, preiskovanje ali pregon kršitev zakona ali predpisa, ki se nanaša na ta namen, ali za njegovo uveljavljanja oziroma izvajanje, če bo Urad CBP opazil znake kršitve ali možne kršitve zakona. Treba bo preveriti ustreznost razkritja glede na vse predstavljene okoliščine.

31. Za ureditev razširjanja podatkov PNR, ki jih je dovoljeno razkriti drugim pristojnim organom, velja Urad CBP za „lastnika“ podatkov, pristojni organi pa so z izrecnimi pogoji razkritja zavezani k temu, da (1) uporabljajo podatke PNR zgolj v namene, določene v odstavku 29 ali 34, kot je primerno, (2) zagotovijo pravilno uporabo prejetih podatkov PNR, v skladu s postopki shranjevanja evidenc pristojnega organa, in (3) pridobijo izrecno dovoljenje Urada CBP za vsako nadaljnje razširjanje. Morebitne primere neupoštevanja pogojev za prenos podatkov lahko preišče in prijavi vodja Službe za varstvo zasebnosti pri DHS, posledica neupoštevanja pa je lahko prenehanje pravice nadaljnjega prejemanja podatkov PNR s strani Urada CBP.

32. Urad CBP vsakršne podatke PNR razkrije pod pogojem, da agencija prejemnica te podatke obravnava kot zaupne poslovne informacije in kot informacije občutljivega značaja, zaupne informacije posameznika, na katerega se osebni podatki nanašajo, kot je določeno v odstavkih 25 in 26, za katere velja, da so izvzeti iz razkritja v skladu z Zakonom o prostem dostopu do informacij (5 U.S.C. 552). Nadalje se svetuje, da agencija prejemnica brez izrecne odobritve s strani Urada CBP ne dovoli nadaljnjega razkritja teh informacij. Urad CBP ne bo dovolil nikakršnega nadaljnjega prenašanja podatkov PNR za namene, ki so drugačni od teh, določenih v odstavkih 29, 34 ali 35.

33. Osebe, zaposlene pri pristojnih organih, ki brez ustreznega dovoljenja razkrijejo podatke PNR, so lahko kazensko odgovorne (title 18, United States Code, sections 641, 1030, 1905).

34. Nobena izjava v tem dokumentu ne preprečuje uporabe ali razkritja podatkov PNR ustreznim vladnim organom, kadar je to razkritje potrebno za zaščito ključnih interesov posameznika, na katerega se podatki nanašajo, ali drugih oseb, zlasti, če gre za precejšnjo nevarnost za zdravje. Za razkritja v te namene veljajo isti pogoji prenosa, kot so določeni v odstavkih 31 in 32 teh zavez.

35. Nobena izjava v teh zavezah ne preprečuje uporabe ali razkritja podatkov PNR v kakršnem koli kazenskem postopku ali, če to drugače zahteva zakon. Urad CBP bo svetoval Evropski komisiji v zvezi s sprejetjem vsakršnega zakona Združenih držav, ki bi bistveno vplival na izjave v teh zavezah.

Obveščanje, dostop in možnosti za odškodnino posameznikom, na katere se nanašajo podatki PNR

36. Urad CBP bo potnike obvestil v zvezi z zahtevami glede PNR in v zvezi z vprašanji, povezanimi z njihovo uporabo (tj. splošne informacije glede pristojnosti za zbiranje podatkov, namena zbiranja, varstva in izmenjave podatkov, identitete odgovornega uradnika, možnih odškodninskih postopkov in kontaktnih informacij za nadaljnja vprašanja itd., za objavo na spletnih straneh Urada CBP, v potovalnih brošurah, itd.).

37. Zahtevki posameznika, na katerega se podatki nanašajo (znani tudi kot „zahtevki prve stranke“), da prejme kopijo podatkov PNR iz zbirke podatkov Urada CBP, ki se tičejo posameznika, so obravnavani v skladu z Zakonom o prostem dostopu do informacij (FOIA). Če so takšni zahtevki poslani po pošti, morajo biti naslovljeni na: Freedom of Information Act (FOIA) Request, U.S. Customs and Border Protection, 1300 Pennsylvania Avenue, N.W., Washington, D.C. 20229. Dostaviti pa jih je mogoče tudi na naslov: Disclosure Law Officer, U.S. Customs and Border Protection, Headquarters, Washington, D.C. 20229. Nadaljnje informacije o postopkih za zahtevke FOIA so navedene v section 103.5 of title 19 of the U.S. Code of Federal Regulations. Dejstvo, da Urad CBP podatke PNR obravnava kot zaupne osebne informacije posameznika, na katerega se informacije nanašajo, in kot zaupne poslovne informacije letalskega prevoznika, v primeru zahtevkov prve stranke ne bo predstavljalo razloga v okviru Zakona FIOA za zadržanje podatkov PNR pred posameznikom, na katerega se podatki nanašajo.

38. V določenih izjemnih okoliščinah lahko Urad CBP v skladu s svojo pristojnostjo zavrne ali preloži razkritje celotne (ali verjetneje dela) evidence PNR prvi stranki, v skladu s title 5 section 552(b) United States Code (npr. če je „realno pričakovati, da bo razkritje v skladu z zakonom FOIA oviralo postopke policijske preiskave“, ali če je „realno pričakovati, da bi tehnike razkritja in postopki policijske preiskave predstavljali nevarnost izigravanja zakona“). V skladu s zakonom FOIA ima vsaka oseba, ki vloži zahtevek, pravico, da upravno in sodno izpodbija odločbo Urada CBP o zadržanju informacij (glej 5 U.S.C. 552(a)(4)(B); 19 CFR 103.7-103.9).

39. Urad CBP bo na zahtevo potnikov in članov posadke, letalskih prevoznikov ali organov za varstvo podatkov (Data Protection Authorities – DPA) v državah članicah EU popravil (10) podatke (v obsegu, ki ga izrecno dovoli posameznik, na katerega se podatki nanašajo), kadar bo Urad CBP ugotovil, da takšni podatki obstajajo v njegovi zbirki podatkov in je popravek upravičen in ustrezno podprt. Urad CBP bo vsak pristojni organ, ki je prejel takšne podatke PNR, obvestil o vsakem pomembnem popravku teh podatkov PNR.

40. Zahtevke po popravku podatkov PNR v zbirki podatkov Urada CBP in pritožbe posameznikov glede ravnanja Urada CBP z njihovimi podatki je mogoče vložiti neposredno ali prek ustreznega organa DPA (v obsegu, ki ga izrecno dovoli posameznik, na katerega se podatki nanašajo) na naslov: Assistant Commissioner, Office of Field Operations, U.S. Bureau of Customs and Border Protection, 1300 Pennsylvania Avenue, N.W., Washington, D.C. 20229.

41. V primeru, da Urad CBP ne more rešiti pritožbe, se lahko pritožbo pisno naslovi na vodjo Službe za varstvo zasebnosti pri DHS Chief Privacy Officer, Department of Homeland Security, Washington, DC 20528, ki bo pregledal položaj in si prizadeval rešiti pritožbo (11).

42. Poleg tega bo Služba za varstvo zasebnosti pri DHS pospešeno obravnavala pritožbe, ki jih bodo nanj naslovili organi DPA iz držav članic Evropske unije (EU) v imenu prebivalca EU v tolikšnem obsegu, kot je prebivalec EU pooblastil DPA za delovanje v njegovem imenu in, če meni, da Urad CBP (kot je določeno v odstavkih 37 – 41 teh zavez) ali Služba za varstvo zasebnosti pri DHS ni zadovoljivo obravnavala njegove pritožbe glede varstva podatkov v zvezi z evidenco PNR. Služba za varstvo zasebnosti bo DPA obvestila o svojih zaključkih in mu svetovala v zvezi z morebitnimi ukrepi. Vodja Službe za varstvo zasebnosti bo v svoje poročilo Kongresu vključil informacije o številu, vsebini in rešitvi pritožb glede ravnanja z osebnimi podatki, kot so evidence PNR (12).

Skladnost

43. Urad CBP bo v povezavi z DHS enkrat letno ali pogosteje, v primeru dogovora med strankama, skupaj z Evropsko komisijo – in po potrebi s pomočjo predstavnikov evropskih policijskih organov in/ali organov držav članic Evropske unije (13) – izpeljal skupen pregled izvajanja teh zavez z namenom, da obojestransko prispevajo k učinkovitemu delovanju procesov, opisanih v teh zavezah.

44. Urad CBP bo izdal uredbe, direktive in druge politične dokumente, v katere bo vključil izjave iz tega dokumenta, da bo tako zagotovil skladnost delovanja uradnikov, uslužbencev in pogodbenikov Urada CBP s temi zavezami. Kot je bilo že omenjeno, bodo v primeru neupoštevanja politik Urada CBP, vsebovanih v tem dokumentu, s strani uradnikov, uslužbencev in pogodbenikov Urada CBP, sledili strogi disciplinski ukrepi in kazenske sankcije, v skladu z veljavnimi pravili.

Vzajemnost

45. V primeru, da se bo v Evropski uniji začel uporabljati sistem za identifikacijo letalskih potnikov, v skladu s katerim bodo letalski prevozniki morali pristojnim organom omogočiti dostop do podatkov PNR za osebe, katerih tekoči načrt potovanja vključuje let v Evropsko unijo ali iz nje, bo Urad CBP, izrecno na podlagi vzajemnosti, spodbujal letalske družbe s sedežem v ZDA k sodelovanju.

Pregled in prenehanje Zavez

46. Te zaveze veljajo za obdobje treh let in šest mesecev (3,5 let) in se začnejo z dnem začetka veljavnosti sporazuma med Združenimi državami Amerike in Evropsko unijo, ki dovoljuje obdelovanje podatkov PNR, posredovanih s strani letalskih prevoznikov, za namene prenosa teh podatkov na Urad CBP, v skladu z Direktivo. Ko bodo te zaveze veljale dve leti in šest mesecev (2,5 leti), bo Urad CBP skupaj z DHS začel dogovarjanja s Komisijo z namenom, da se zaveze in vsi spremljajoči dogovori podaljšajo, v skladu z medsebojno sprejemljivimi pogoji. Če pred datumom prenehanja teh zavez ne bo mogoče skleniti medsebojno sprejemljivega dogovora, bodo zaveze prenehale veljati.

Odsotnost zasebne pravice in precedensa

47. Te zaveze ne ustvarijo, oziroma nobeni osebi ali stranki, zasebni ali javni, ne dodelijo pravic ali ugodnosti.

48. Določbe teh zavez ne predstavljajo precedensa za nobena nadaljnja dogovarjanja z Evropsko komisijo, Evropsko unijo, povezanim subjektom ali tretjo državo v zvezi s prenosom kakršnih koli podatkov.

11. maj 2004

(1) Za namene teh zavez izraza „potnik“ in „potniki“ vključujeta člane posadke.

(2) Za namene te določbe, CBP ni stranka neposredno vključena v CAPPS II testiranje ali tretja stranka.

(3) Če v PNR obstajajo „občutljivi“ podatki, ki so predmet ne-diskrecijskega razkritja Urada CBS, kot je opisano v odstavku 35, bo Urad pred uporabo avtomatskih filtrov (iz odstavka 10) naredil vse, kar je mogoče, da omeji razkritje „občutljivih“ podatkov PNR, v skladu z zakonodajo ZDA.

(4) Mednje spadajo tudi osebe, ki potujejo skozi Združene države.

(5) V primeru, da letalski prevozniki privolijo, da bodo Uradu CBP posredovali podatke PNR, bo agencija začela z letalskimi prevozniki razgovore o možnosti posredovanja podatkov PNR v rednih intervalih tekom 72 ur pred odhodom letala iz tujega kraja in prihodom letala v Združene države, ali tekom 72 ur pred odhodom letala iz Združenih držav, kakor je primerno. Urad CBP želi uporabiti metodo posredovanja potrebnih podatkov PNR, ki jih agencija potrebuje za učinkovito ocenitev tveganja, hkrati pa želi čimbolj zmanjšati ekonomski učinek na letalske prevoznike.

(6) Med te pooblaščene uporabnike Urada CBP spadajo osebe, zaposlene v analitskih službah območnih enot, kakor tudi v Državnem centru za ciljni izbor. Kot je bilo že omenjeno, bodo dostop do teh podatkov imele tudi osebe, zadolžene za vzdrževanje, razvoj ali revizijo zbirk podatkov Urada CBP, in sicer za navedene namene.

(7) Čeprav podatki PNR ob prenosu v datoteko izbrisanih evidenc niso tehnično izbrisani, so shranjeni kot surovi podatki (ne v obliki, pripravljeni za iskanje, in zato neuporabni za „tradicionalne“ policijske preiskave) in dostopni zgolj pooblaščenim uslužbencem Urada za notranje zadeve za CBP (in v nekaterih primerih v Uradu generalnega inšpektorja v povezavi z revizijami) in uslužbencem, odgovornim za vzdrževanje zbirke podatkov v Oddelku za informacijsko tehnologijo Urada CBP, in sicer takrat, ko bodo te podatke potrebovali.

(8) Dostop do podatkov PNR v računalniških sistemih Urada CBP je za „pogodbenike“ omejen na osebe, ki imajo z Uradom CBP sklenjeno pogodbo za pomoč pri vzdrževanju ali razvoju računalniškega sistema Urada CBP.

(9) Urad CBP želi te izjeme uveljavljati enotno, ne glede na državljanstvo ali državo stalnega prebivališča posameznika, na katerega se podatki nanašajo.

(10) S pojmom „popraviti“ želi Urad CBP jasno pokazati, da ne bo pooblaščen za revizijo podatkov v evidenci PNR, do katere bo imel dostop prek letalskega prevoznika. Namesto tega bo ustvarjena posebna povezava k evidenci PNR z opombo, da je bila ugotovljena netočnost podatkov, ter z ustreznim popravkom. Urad CBP bo zlasti zabeležil sekundarni pregled potnika, ki bo pokazal, da določeni podatki v PNR so ali so lahko nepravilni.

(11) Vodja Službe za varstvo zasebnosti pri DHS je neodvisen od vsakega direktorata znotraj DHS. Zakonsko je obvezan zagotoviti, da se osebni podatki uporabljajo na način, ki je v skladu z ustreznimi zakoni (glej opombo 13). Odločitve vodje Službe za varstvo zasebnosti bodo zavezujoče za Ministrstvo in jih ne bo mogoče ovreči na politični osnovi.

(12) V skladu z section 222 of the Homeland Security Act iz leta 2002 („Zakon“) (Public Law 107-296, November 25, 2002, z dne 25. novembra 2002 je Vodja Službe za varstvo zasebnosti pri DHS odgovoren za „ocenitev učinka na zasebnost“, ki ga imajo predlagana pravila Ministrstva o „zasebnosti osebnih informacij, vključno z vrsto zbranih osebnih informacij in številom prizadetih oseb“. Vsako leto mora poročati Kongresu o „dejavnostih Ministrstva, ki vplivajo na zasebnost ...“ Section 222(5) Zakona tudi izrecno določa, da mora Vodja Službe za varstvo zasebnosti obravnavati in poročati Kongresu v zvezi z vsemi „pritožbami zoper kršitve zasebnosti“.

(13) Obe strani bosta predhodno obvestili druga drugo o sestavi svojih skupin, v katere so lahko vključeni ustrezni organi, ki se ukvarjajo z varstvom podatkov/zasebnosti, mejnim nadzorom in drugimi oblikami uveljavljanja zakona, mejne zaščite in/ali letalske varnosti. Sodelujoči organi bodo morali pridobiti vsa potrebna varnostna dovoljenja in bodo morali upoštevati načelo zaupnosti razgovorov in dokumentacije, do katere bodo imeli dostop. Načelo zaupnosti pa nobene strani ne ovira pri sestavi poročila o rezultatih skupnega pregleda pristojnim organom, vključno s Kongresom ZDA in Evropskim parlamentom. V nobenih okoliščinah pa sodelujoči organi ne smejo razkriti osebnih podatkov posameznika, na katerega se podatki nanašajo, kakor tudi ne smejo razkriti podatkov, ki niso javne narave in so pridobljeni iz dokumentov, do katerih imajo dostop, ali kakršnih koli operativnih ali notranjih informacij agencije, ki jih pridobijo med skupnim pregledom. Obe strani bosta skupaj določili podrobnosti načina izvajanja skupnega pregleda.