Document ID: 32004D0535

KOMISJONI OTSUS,
14. mai 2004,
Ameerika Ühendriikide Tolli- ja Piirivalveametile edastatavates reisijaregistrites sisalduvate lennureisijate isikuandmete piisava kaitse kohta
(teatavaks tehtud numbri K(2004) 1914 all)
(EMPs kohaldatav tekst)
(2004/535/EÜ)
EUROOPA ÜHENDUSTE KOMISJON,
võttes arvesse Euroopa Ühenduse asutamislepingut,
võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta, (1) eriti selle artikli 25 lõiget 6,
ning arvestades järgmist:
(1)
Direktiivi 95/46/EÜ kohaselt peavad liikmesriigid sätestama, et isikuandmeid võib kolmandale riigile edastada üksnes juhul, kui kõnealune kolmas riik tagab nende kaitse piisava taseme ning enne andmete edastamist on järgitud direktiivi muude sätete rakendamist käsitlevaid liikmesriikide õigusakte.
(2)
Komisjon võib jõuda järeldusele, et kolmas riik tagab kaitse piisava taseme. Sel juhul võib liikmesriikidest isikuandmeid edastada ilma lisatagatisteta.
(3)
Direktiivi 95/46/EÜ kohaselt tuleb andmekaitse taseme hindamisel silmas pidada kõiki andmete edastamise toimingute või andmete edastamise toimingute kogumi asjaolusid ning arvestada eelkõige mitmeid edastuse puhul olulisi ja selle direktiivi artikli 25 punktis 2 loetletud elemente.
(4)
Õhutranspordis mõistetakse “reisijaregistri” (Passenger Name Record - PNR) all iga reisija reisivajadusi kajastavat registrit, mis sisaldab kõiki vajalikke andmeid, et broneerivad ja osalevad lennuettevõtjad saaksid broneeringuid töödelda ja kontrollida. Käesolevas otsuses hõlmavad mõisted “reisija” ja “reisijad” ka meeskonnaliikmeid. “Broneeriv lennuettevõtja” on lennuettevõtja, kus reisija on teinud oma esialgse broneeringu või kus on tehtud täiendavaid broneeringuid pärast reisi algust. “Osalev lennuettevõtja” on mis tahes lennuettevõtja, kust broneeriv lennuettevõtja on tellinud reisijale kohti selle ühele või mitmele lennule.
(5)
Ameerika Ühendriikide Sisejulgeoleku Ministeeriumi (Department of Homeland Security - DHS) Tolli- ja Piirivalveamet (Bureau of Customs and Border Protection - CBP) nõuab, et iga vedaja, kes korraldab rahvusvahelist lennureisijatevedu Ameerika Ühendriikidesse või sealt välja, tagaks elektroonilise juurdepääsu PNR-andmetele, mis on kogutud ja talletatud lennuettevõtja automaatsesse broneerimissüsteemi.
(6)
PNRis sisalduvate isikuandmete CBPle edastamise õiguslikuks aluseks on Ameerika Ühendriikides 2001. aasta novembris vastuvõetud seadus (2) ning selle seaduse alusel CBP vastuvõetud rakenduseeskirjad (3).
(7)
Kõnealused USA õigusaktid käsitlevad julgeoleku parandamist ja tingimusi, mille alusel isikud võivad riiki siseneda ja sealt lahkuda - need on küsimused, mille üle USA-l on oma jurisdiktsiooni piires suveräänne õigus otsustada. Sätestatud nõuded ei ole ka vastuolus ühegi rahvusvahelise kohustusega, mille USA on võtnud. USA on tugeva kodanikuvabaduste traditsiooniga demokraatlik õigusriik. Selle riigi õigusloomemenetluse õiguspärasuse ning kohtusüsteemi tugevuse ja sõltumatuse osas ei ole kahtlust. Ajakirjandusvabadus on teine tugev tagatis kodanikuvabaduste kuritarvituse vastu.
(8)
Ühendus on otsustanud täielikult toetada USAd terrorismivastases võitluses ühenduse õigusaktides kehtestatud piires. Ühenduse õigusaktid sätestavad vajaliku tasakaalu saavutamise julgeolekuhuvide ja eraelu kaitse huvide vahel. Näiteks direktiivi 95/46/EÜ artiklis 13 on sätestatud, et liikmesriigid võivad selle direktiivi teatavate nõuete ulatuse piiramiseks võtta vastu õigusakte, kui see on vajalik riigi julgeoleku, riigikaitse, avaliku korra ning kuritegude ärahoidmise, uurimise, avastamise ja nende eest vastutuselevõtmise huvides.
(9)
Asjaomased andmeedastused hõlmavad teatavaid vastutavaid töötlejaid, nimelt lennuettevõtjaid, kes korraldavad lende ühenduse ja USA vahel, ning üksnes üht andmesaajat USAs, s.o CBPd.
(10)
Mis tahes korraldus PNRi USAle edastamise õigusraamistiku sätestamiseks, eriti käesoleva otsuse kaudu, peaks olema tähtajaline. Kokku on lepitud kolme ja poole aasta pikkune ajavahemik. Selle ajavahemiku jooksul võib kontekst oluliselt muutuda ning ühendus ja USA on nõus, et korraldus on vaja üle vaadata.
(11)
Lennureisijate reisijaregistrites sisalduvate CBPle edastatud isikuandmete töötlemist PNR poolt reguleerivad sisejulgeoleku ministeeriumi tolli- ja piirivalveameti 11. mai 2004. aasta kohustused (Undertakings of the Department of Homeland Security Bureau of Customs and Border Protection (CBP) of 11 May 2004) (edaspidi “kohustused”) ning USA siseriiklikud õigusaktid kohustustes osutatud ulatuses.
(12)
USA siseriiklike õigusaktide puhul on käesolevas kontekstis oluline teabevabaduse seadus (Freedom of Information Act - FOIA), kuna sellega kontrollitakse tingimusi, mille alusel CBP võib andmete avaldamise taotlusi mitte rahuldada ja seega hoida PNR-andmeid konfidentsiaalsena. See õigusakt reguleerib PNR-andmete avaldamist asjaomasele isikule, mis on tihedalt seotud andmesubjekti juurdepääsuõigusega. Seda kohaldatakse vahet tegemata USA kodanike ja välismaalaste suhtes.
(13)
Vastavalt kohustuste punktile 44 inkorporeeritakse või on juba inkorporeeritud kohustustes sisalduvad avaldused USA seadustesse, määrustesse, direktiividesse või muudesse õigusaktidesse ning neil on seega erinev õiguslik jõud. Kohustused avaldatakse täielikult Federal Register'is DHSi vastutusel. Kohustused kujutavad endast DHSi tõsist ja põhjalikult kaalutletud poliitilist kohustust ning nende täitmise vaatavad USA ja ühendus ühiselt läbi. Mittetäitmisse võidakse sekkuda asjakohaste õiguslike, halduslike ja poliitiliste kanalite kaudu ning kui see on püsiv, võidakse käesoleva otsuse mõju peatada.
(14)
Standardid, mille alusel CBP töötleb reisijate PNR-andmeid USA õigusaktide ning kohustuste põhjal, hõlmavad peamisi põhimõtteid, mis on vajalikud füüsiliste isikute piisavaks kaitseks.
(15)
Pidades silmas otstarbe piirangu põhimõtet, töödeldakse CBPle edastatavates reisijaregistrites sisalduvaid lennureisijate isikuandmeid kindlal otstarbel ning kasutatakse või saadetakse edasi järgnevalt üksnes ulatuses, mis ei ole vastuolus edastamise otstarbega. PNR-andmeid kasutatakse eelkõige üksnes järgmiste nähtuste ennetamiseks ja nende vastu võitlemiseks: terrorism ja sellega seotud kuriteod; muud rasked kuriteod, sealhulgas organiseeritud kuritegevus, millel on rahvusvaheline mõõde; ning selliste kuritegude puhul vahistamisel või kinnipidamiskohast põgenemine.
(16)
Pidades silmas andmete kvaliteedi ja proportsionaalsuse põhimõtet, mida tuleb arvestada seoses avaliku huvi oluliste põhjustega, mille pärast PNR-andmeid edastatakse, ei muuda CBP talle edastatud PNR-andmeid. Edastatakse maksimaalselt 34 PNR-andmete kategooriat ning USA ametiasutused konsulteerivad komisjoniga enne mis tahes uute nõuete lisamist. Täiendavaid isikuandmeid, mida taotletakse PNR-andmete otsese tulemusena, hangitakse valitsusvälistest allikatest üksnes seaduslike kanalite kaudu. Üldiselt kustutatakse PNR maksimaalselt kolme aasta ja kuue kuu pärast, välja arvatud andmed, mida on kasutatud eriliste uurimistoimingute puhul või manuaalselt.
(17)
Pidades silmas läbipaistvuse põhimõtet, annab CBP reisijatele teavet edastamise ja töötlemise eesmärgi kohta ning vastutava andmetöötleja isiku kohta kolmandas riigis, samuti muud teavet.
(18)
Arvestades turvalisuse põhimõtet, võtab CBP tehnilisi ja organisatsioonilisi turvameetmeid, mis on asjakohased töötlemisest tulenevate ohtude puhul.
(19)
Juurdepääsu ja parandamise õigusi tunnustatakse nii, et andmesubjekt võib taotleda PNR-andmete koopiat ja ebatäpsete andmete parandamist. Ettenähtud erandid on üldjoontes võrreldavad piirangutega, mida liikmesriigid võivad kehtestada direktiivi 95/46/EÜ artikli 13 alusel.
(20)
Teistele valitsusasutustele, sealhulgas välisriikide valitsusasutustele, millel on terrorismivastase võitluse või õiguskaitse funktsioonid, saadetakse andmeid edasi iga juhtumi korral eraldi ning otstarbel, mis vastab sellele, mis on sätestatud otstarbe piirangu avalduses. Andmeid võib edastada ka andmesubjekti või teiste isikute eluliste huvide kaitseks, eriti seoses oluliste terviseriskidega või mis tahes kriminaal- või kohtumenetlusega või muudel seaduses sätestatud juhtudel. Vastuvõtvad asutused on seotud selgesõnaliste avaldamistingimustega kasutada andmeid üksnes nimetatud eesmärkidel ning ei või saata andmeid edasi CBP nõusolekuta. Ühelgi teisel välisriigi, föderaal-, osariigi või kohalikul ametiasutusel ei ole CBP andmebaaside kaudu otsest elektroonilist juurdepääsu PNR-andmetele. CBP keeldub PNRi avaldamisest teabevahetuse seaduse asjakohastest sätetest tulenevate erandite alusel.
(21)
CBP ei kasuta direktiivi 95/46/EÜ artiklis 8 viidatud tundlikke andmeid ning kohustub seni, kuni paigaldatakse filtrite süsteem selliste andmete väljajätmiseks USAle saadetavatest broneeringutest, kehtestama meetmed nende kustutamiseks ning neid vahepeal mitte kasutama.
(22)
Rakendusmehhanismid, millega tagatakse nende põhimõtete järgimine CBP poolt, on CBP töötajate koolitus ja teavitamine, samuti sanktsioonid iga töötaja puhul. Eraelu kaitse tagamine CBP poolt on üldiselt sisejulgeoleku ministeeriumi eraelu kaitse ameti juhataja (Chief Privacy Officer) kontrolli all, kes on sisejulgeoleku ministeeriumi ametnik, kuid kes on organisatsiooniliselt suures osas autonoomne ning kes peab igal aastal USA Kongressile aru andma. Isikud, kelle PNR-andmeid on edastatud, võivad esitada kaebuse CBPle või, kui see jääb lahendamata, siis otse või liikmesriikide andmekaitseasutuste kaudu sisejulgeoleku ministeeriumi eraelu kaitse ameti juhatajale. Sisejulgeoleku ministeeriumi eraelu kaitse amet käsitleb kiirendatud korras talle liikmesriikide andmekaitseasutuste poolt Euroopa Ühenduse elanike nimel saadetud kaebusi, kui elanik leiab, et tema kaebust ei ole CBP või sisejulgeoleku ministeeriumi eraelu kaitse amet rahuldavalt käsitlenud. Kohustuste täitmine kuulub igal aastal ühisele läbivaatamisele CBP juhtimisel koos sisejulgeoleku ministeeriumi ja komisjoni juhitud töörühmaga.
(23)
Läbipaistvuse huvides ning võimaldamaks liikmesriikide pädevatel ametiasutustel tagada üksikisikute kaitse nende isikuandmete töötlemisel, tuleb täpsustada need erandlikud asjaolud, mille korral teatava andmevahetuse peatamine on põhjendatud, olenemata sellest, et andmete kaitsetase on tunnistatud piisavaks.
(24)
Komisjon on juhindunud läbirääkimistel sisejulgeoleku ministeeriumiga direktiivi 95/46/EÜ artikli 29 alusel üksikisikute kaitseks seoses isikuandmete töötlemisega loodud töörühma avaldatud arvamustest USA ametiasutuste poolt pakutava reisijate andmete kaitsetaseme kohta. Komisjon on võtnud neid arvamusi (4) arvesse käesoleva otsuse ettevalmistamisel.
(25)
Käesoleva otsusega ettenähtud meetmed on kooskõlas direktiivi 95/46/EÜ artikli 31 lõike 1 alusel loodud komitee arvamusega,
ON VASTU VÕTNUD KÄESOLEVA OTSUSE:
Artikkel 1
Direktiivi 95/46/EÜ artikli 25 lõike 2 kohaldamisel loetakse, et Ameerika Ühendriikide Tolli- ja Piirivalveamet (CBP) tagab andmekaitse piisava taseme ühendusest edastatavate PNR-andmete puhul, mis on seotud lendudega USAsse ja sealt välja, vastavalt lisas sätestatud kohustustele.
Artikkel 2
Käesolev otsus käsitleb CBP tagatava kaitse piisavat taset kooskõlas direktiivi 95/46/EÜ artikli 25 lõike 1 nõuetega ning see ei mõjuta muid selliseid tingimusi või piiranguid, millega rakendatakse kõnealuse direktiivi muid sätteid, mis käsitlevad isikuandmete töötlemist liikmesriikides.
Artikkel 3
1. Ilma et see piiraks liikmesriikide pädevate asutuste volitusi võtta meetmeid selliste siseriiklike sätete järgimise tagamiseks, mis on vastu võetud muude sätete alusel kui direktiivi 95/46/EÜ artikkel 25, võivad need ametiasutused järgmistel juhtudel kasutada oma volitusi CBPle andmeedastuste peatamiseks, et tagada üksikisikute kaitse seoses nende isikuandmete töötlemisega:
a)
USA pädev ametiasutus on kindlaks teinud, et CBP rikub kehtivaid kaitsenõudeid; või
b)
on väga tõenäoline, et lisas sätestatud kaitsenõudeid rikutakse, on põhjust arvata, et CBP ei võta ega kavatse võtta õigeaegselt asjakohaseid meetmeid kõnealuse olukorra lahendamiseks, andmeedastuse jätkamine võib kujutada andmesubjektide jaoks tõsise kahju viivitamatut ohtu ning liikmesriigi pädevad ametiasutused on asjaolusid arvestades võtnud piisavaid meetmeid CBP teavitamiseks ja andnud talle võimaluse vastata.
2. Peatamine lõpetatakse kohe, kui on tagatud kaitsenõuete järgimine ning asjaomaste liikmesriikide pädevatele ametiasutustele on sellest teatatud.
Artikkel 4
1. Liikmesriigid teavitavad viivitamata komisjoni, kui on võetud meetmeid vastavalt artiklile 3.
2. Liikmesriigid ja komisjon teavitavad üksteist mis tahes muudatustest kaitsenõuetes ning juhtudest, mil vastavalt lisas sätestatud CBP kaitsenõuete järgimise tagamise eest vastutavad asutused ei suuda nõuete järgimist tagada.
3. Kui vastavalt artiklile 3 ja käesoleva artikli lõigetele 1 ja 2 kogutud andmed tõendavad, et enam ei täideta peamisi põhimõtteid, mis on vajalikud füüsiliste isikute piisavaks kaitseks, või lisas sätestatud CBP kaitsenõuete järgimise tagamise eest vastutavad asutused ei täida oma ülesandeid tõhusalt, teavitatakse CBPd ning kohaldatakse vajadusel direktiivi 95/46/EÜ artikli 31 lõikes 2 osutatud menetlust eesmärgiga käesolev otsus kehtetuks tunnistada või peatada.
Artikkel 5
Käesoleva otsuse toimimist jälgitakse ning direktiivi 95/46/EÜ artikli 31 alusel moodustatud komiteele antakse aru kõigi asjakohaste järelduste, sealhulgas tõsiasjade kohta, mis võivad mõjutada käesoleva otsuse artiklis 1 esitatud järeldust, et CBPle edastatavate lennureisijate broneeringutes sisalduvate isikuandmete kaitse on direktiivi 95/46/EÜ artikli 25 tähenduses piisav.
Artikkel 6
Liikmesriigid võtavad kõik käesoleva otsuse järgimiseks vajalikud meetmed nelja kuu jooksul alates otsuse teatavakstegemise kuupäevast.
Artikkel 7
Käesolev otsus kaotab kehtivuse kolme aasta ja kuue kuu möödumisel selle teatavakstegemise kuupäevast, välja arvatud juhul, kui seda pikendatakse direktiivi 95/46/EÜ artikli 31 lõikes 2 sätestatud korras.
Artikkel 8
Käesolev otsus on adresseeritud liikmesriikidele.
Brüssel, 14. mai 2004

Labels: 11
8
0
12
18