Document ID: 32006D0253

KOMISSION PÄÄTÖS,
tehty 6 päivänä syyskuuta 2005,
Kanadan rajapalveluvirastolle toimitettavien lentomatkustajia koskevaan matkustajarekisteriin sisältyvien henkilötietojen suojan riittävästä tasosta
(tiedoksiannettu numerolla K(2005) 3248)
(ETA:n kannalta merkityksellinen teksti)
(2006/253/EY)
EUROOPAN YHTEISÖJEN KOMISSIO, joka
ottaa huomioon Euroopan yhteisön perustamissopimuksen,
ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (1) ja erityisesti sen 25 artiklan 6 kohdan,
sekä katsoo seuraavaa:
(1)
Direktiivin 95/46/EY mukaan jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan siirtää kolmanteen maahan vain, jos kyseisessä kolmannessa maassa turvataan tietosuojan riittävä taso ja jos direktiivin muiden säännösten täytäntöönpanemiseksi annettuja jäsenvaltioiden lakeja noudatetaan ennen tietojen siirtämistä.
(2)
Komissio voi todeta, että kolmas maa turvaa tietosuojan riittävän tason. Henkilötietoja voidaan tässä tapauksessa siirtää jäsenvaltioista ilman lisätakeita.
(3)
Direktiivin 95/46/EY mukaisesti tietosuojan taso olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta ja ottaen erityisesti huomioon eräät siirron kannalta olennaiset direktiivin 25 artiklan 2 kohdassa luetellut tekijät.
(4)
Ilmailussa tarkoitetaan matkustajatietorekisterillä (PNR-tiedoilla) tietuetta, johon on koottu kunkin matkustajan matkustustiedot. Niihin kuuluvat kaikki tiedot, joita lippuvarauksia toimittavat ja järjestelmään osallistuvat lentoyhtiöt tarvitsevat varausten käsittelyä ja valvontaa varten (2). Tässä päätöksessä käsitteisiin ”matkustaja” ja ”matkustajat” kuuluvat myös miehistön jäsenet. ”Lippuvarauksia toimittavalla lentoyhtiöllä” tarkoitetaan lentoyhtiötä, johon matkustaja teki alkuperäisen varauksensa tai johon matkan alkamisen jälkeen on tehty lisävarauksia. ”Osallistuvilla lentoyhtiöillä” tarkoitetaan lentoyhtiöitä, joilta lippuvarauksia toimittava lentoyhtiö on pyytänyt paikan varaamista matkustajalle yhdelle tai useammalle lennolle.
(5)
Kanadan rajapalveluvirasto (Canada Border Services Agency, CBSA) edellyttää, että kukin Kanadaan suuntautuvaa matkustajaliikennettä harjoittava lentoyhtiö antaa virastolle sähköisen pääsyn niihin PNR-tietoihin, jotka kerätään ja tallennetaan lentoyhtiön automaattiseen varausjärjestelmään ja lähtöselvitysjärjestelmään.
(6)
CBSA:lle toimitettavia matkustajarekisteriin sisältyviä henkilötietoja koskevat vaatimukset perustuvat Kanadan tullilain (Customs Act) 107.1 §:ään, maahanmuutosta ja pakolaisten suojelusta annetun lain (Immigration and Refugee Protection Act) 148 §:n 1 momentin d kohtaan sekä kyseisten säädösten nojalla annettuihin täytäntöönpanomääräyksiin (3).
(7)
Kyseinen Kanadan lainsäädäntö koskee turvallisuuden parantamista sekä henkilöiden maahantulon ehtoja. Nämä seikat kuuluvat Kanadan itsenäiseen oikeudelliseen toimivaltaan. Säädetyt vaatimukset eivät ole ristiriidassa minkään Kanadan tekemän kansainvälisen sitoumuksen kanssa. Kanada on oikeusvaltioperiaatteeseen nojautuva demokraattinen valtio, jolla on vahvat kansalaisvapausperinteet. Ei ole epäilystä sen lainsäädäntöprosessin laillisuudesta eikä sen oikeuslaitoksen tehokkuudesta ja riippumattomuudesta. Lisäksi lehdistönvapaus on vahva tae kansalaisvapauksien väärinkäyttöä vastaan.
(8)
Yhteisö on täysipainoisesti sitoutunut tukemaan Kanadaa terrorismin torjunnassa yhteisön lainsäädännön asettamissa rajoissa. Yhteisön lainsäädännössä edellytetään turvallisuus- ja yksityisyysnäkökohtien tasapainoista ottamista huomioon. Esimerkiksi direktiivin 95/46/EY 13 artiklan mukaan jäsenvaltiot saavat lainsäädännöllään rajoittaa direktiivin tiettyjen vaatimusten soveltamisalaa, jos se on välttämätöntä valtion turvallisuuden, puolustuksen, yleisen turvallisuuden taikka rikosten torjunnan, tutkinnan, selvittämisen tai syyteharkinnan kannalta.
(9)
Kyseiset tiedonsiirrot koskevat tiettyjä rekisterinpitäjiä eli lentoyhtiöitä, jotka harjoittavat lentoliikennettä yhteisöstä Kanadaan, ja vain yhtä vastaanottajaa Kanadassa eli CBSA:ta.
(10)
Matkustajarekisteritietojen siirtoja Kanadaan koskevan oikeudellisen kehyksen luomiseen etenkin tällä päätöksellä liittyvien järjestelyjen voimassaoloaika olisi rajattava. On sovittu kolmen ja puolen vuoden pituisesta jaksosta. Tämän jakson aikana olosuhteet voivat muuttua merkittävästi, minkä vuoksi yhteisö ja Kanada katsovat, että järjestelyjä on aikanaan tarkasteltava uudelleen.
(11)
CBSA käsittelee sille siirrettyjä lentomatkustajien matkustajarekisteriin sisältyviä henkilötietoja noudattaen Kanadan rajapalveluviraston (CBSA) PNR-ohjelmansa soveltamisesta antamia sitoumuksia (jäljempänä ’sitoumukset’) ja Kanadan lainsäädäntöön sisältyviä ehtoja sitoumuksissa esitetyn mukaisesti.
(12)
Kanadan lainsäädännöstä on tässä yhteydessä merkitystä tietosuojalailla (Privacy Act), tiedonsaantilailla (Access to Information Act) sekä tullilain (Customs Act) 107 §:llä siltä osin kuin niillä säännellään niitä edellytyksiä, joiden täyttyessä CBSA voi vastustaa luovutuspyyntöjä ja säilyttää näin PNR-tiedot luottamuksellisina. Privacy Act -lailla säännellään PNR-tietojen luovuttamista asianomaiselle henkilölle, mikä on läheisessä yhteydessä rekisteröidyn tiedonsaantioikeuteen. Privacy Actia sovelletaan pelkästään Kanadassa oleskeleviin henkilöihin. CBSA antaa kuitenkin ulkomaan kansalaiselle pääsyn häntä koskeviin PNR-tietoihin riippumatta siitä, oleskeleeko hän Kanadassa vai ei.
(13)
Sitoumuksissa vahvistetut lausekkeet on sitoumusten 43 kohdan mukaisesti sisällytetty voimassa olevaan Kanadan lainsäädäntöön tai ne kirjataan erityisesti tarkoitusta varten laadittuihin kansallisiin säännöksiin, joten ne ovat oikeusvaikutuksellisia. Sitoumukset julkaistaan kokonaisuudessaan Kanadan virallisessa lehdessä (Canada Gazette). Ne ovat CBSA:n puolelta vakava ja tarkoin harkittu sitoumus, ja niiden noudattamista tarkastelevat yhdessä Kanada ja yhteisö. Sääntöjen noudattamatta jättämiseen voidaan puuttua tapauksen mukaan oikeudellisin, hallinnollisin ja poliittisin keinoin, ja asiaintilan korjaamatta jättäminen johtaa tämän päätöksen vaikutusten keskeyttämiseen.
(14)
Normeihin, joiden mukaisesti CBSA käsittelee matkustajarekisteritietoja Kanadan lainsäädännön ja sitoumusten perusteella, sisältyvät perusperiaatteet, joita tarvitaan sen toteamiseksi, että luonnollisten henkilöiden suojelun taso on riittävä.
(15)
Tarkoituksen rajoittamisen periaate otetaan huomioon siten, että CBSA:lle siirrettyjä matkustajarekisteriin sisältyviä lentomatkustajien henkilötietoja käsitellään tiettyä tarkoitusta varten ja käytetään tai annetaan eteenpäin vain siirron tarkoituksen mukaisesti. Matkustajarekisteritietoja käytetään yksinomaan estämään ja torjumaan terrorismia ja siihen liittyviä rikoksia ja muita vakavia, luonteeltaan rajatylittäviä rikoksia järjestäytynyt rikollisuus mukaan luettuna.
(16)
Tietojen laatua koskevaa periaatetta ja suhteellisuusperiaatetta on tarkasteltava suhteessa niihin tärkeisiin yleisen edun mukaisiin syihin, joiden perusteella matkustajarekisteritiedot siirretään. Nämä periaatteet otetaan huomioon siten, ettei CBSA tee muutoksia sille annettuihin matkustajarekisteritietoihin. PNR-kenttiä siirretään enintään 25, ja ennen kuin CBSA tekee tarkistuksia lisäyksessä A olevaan 25 vaaditun PNR-tiedon luetteloon, se kuulee Euroopan komissiota ja sopii asiasta sen kanssa. Suoraan matkustajarekisteritietojen johdosta haettavat ylimääräiset henkilötiedot, joita viranomaisilla ei ole, hankitaan ainoastaan laillisia kanavia pitkin. Pääsääntönä on, että matkustajarekisteritiedot poistetaan viimeistään 3 vuoden ja 6 kuukauden kuluttua.
(17)
Avoimuusperiaate otetaan huomioon siten, että CBSA ilmoittaa matkustajille tietojen siirtämisen ja käsittelyn tarkoituksen ja rekisterinpitäjän nimen sekä muita tietoja.
(18)
Turvallisuusperiaate otetaan huomioon siten, että CBSA huolehtii teknisistä ja organisatorisista turvatoimista, jotka vastaavat käsittelyn aiheuttamia riskejä.
(19)
Privacy Act -lain mukaan jokaisella Kanadassa oleskelevalla on oikeus saada itseään koskevat tiedot, saada ne oikaistuksi tai tehdä niihin huomautuksia. CBSA ulottaa nämä oikeudet hallussaan olevien matkustajarekisteritietojen osalta myös ulkomaiden kansalaisiin, jotka eivät oleskele Kanadassa. Tähän liittyvät poikkeukset vastaavat pääpiirteittäin rajoituksia, joista jäsenvaltiot voivat säätää direktiivin 95/46/EY 13 artiklan nojalla.
(20)
Tietoja voidaan siirtää edelleen muille viranomaisille, myös ulkomaiden viranomaisille, tapauskohtaisesti minimimäärä tarkoituksiin, jotka on mainittu käyttötarkoituksen rajoittamista koskevassa ilmoituksessa tai vastaavat niitä. Tietoja voidaan siirtää myös rekisteröidyn tai muiden henkilöiden elintärkeiden etujen suojelemiseksi etenkin merkittäviltä terveysriskeiltä tai rikosoikeudellisia menettelyjä varten taikka muissa lain edellyttämissä tilanteissa. Vastaanottavat viranomaiset saavat tietojenluovutuksen nimenomaisten ehtojen mukaisesti käyttää tietoja yksinomaan kyseisiin tarkoituksiin, eivätkä ne saa siirtää tietoja edelleen ilman CBSA:n suostumusta. Millään muulla ulkomaisella, liittovaltion, provinssin tai paikallisella viranomaisella ei ole suoraa sähköistä pääsyä matkustajarekisteritietoihin CBSA:n tietokantojen kautta. CBSA kieltää matkustajarekisterin julkistamisen Access to Information Act- ja Privacy Act -lakien asianomaisia säännöksiä koskevien poikkeusten perusteella.
(21)
CBSA:lle ei toimiteta direktiivin 95/46/EY 8 artiklan merkityksessä arkaluontoisiksi katsottavia tietoja.
(22)
Täytäntöönpanoon liittyviä mekanismeja, joilla varmistetaan, että CBSA noudattaa kyseessä olevia periaatteita, ovat CBSA:n henkilökunnalle tarjottava koulutus ja informaatio sekä yksittäisiin henkilökunnan jäseniin kohdistuvat seuraamukset. Yksityisyyden suojan yleistä kunnioittamista CBSA:ssa tarkastelee Kanadan riippumaton tietosuojavaltuutetuntoimisto (Office of the Canadian Privacy Commissioner) Kanadan oikeuksien ja vapauksien peruskirjassa (Charter of Rights and Freedoms) ja Privacy Act -laissa vahvistettujen ehtojen mukaisesti. Tietosuojavaltuutettu voi käsitellä valituksia, joita jäsenvaltioiden tietosuojaviranomaiset toimittavat hänelle yhteisössä asuvien ihmisten puolesta, kun nämä katsovat, ettei CBSA ole käsitellyt heidän valitustaan tyydyttävällä tavalla. Sitoumusten noudattamista käsitellään CBSA:n ja komission johtaman ryhmän tekemässä vuotuisessa yhteisessä tarkastelussa.
(23)
Avoimuuden takaamiseksi sekä sen varmistamiseksi, että jäsenvaltioiden toimivaltaiset viranomaiset pystyvät takaamaan rekisteröidyille tietosuojan heidän henkilötietojensa käsittelyn osalta, on tarpeen nimetä ne poikkeusolosuhteet, joissa tiettyjen tiedonsiirtojen keskeyttäminen voi olla perusteltua siitä huolimatta, että tietosuojan taso on todettu riittäväksi.
(24)
Direktiivin 95/46/EY 29 artiklan mukaisesti perustettu tietosuojatyöryhmä on antanut lausuntoja Kanadan viranomaisten matkustajatiedoille antaman suojan tasosta. Komissio on pitänyt lausuntoja ohjenuorana neuvotteluissaan CBSA:n kanssa. Komissio on ottanut lausunnot huomioon tätä päätöstä tehdessään (4).
(25)
Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 95/46/EY 31 artiklan 1 kohdalla perustetun komitean lausunnon mukaiset,
ON TEHNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
Direktiivin 95/46/EY 25 artiklan 2 kohdan soveltamiseksi katsotaan Kanadan rajapalveluviraston (Customs Border Services Agency, jäljempänä ’CBSA’) tarjoavan liitteessä olevien sitoumusten mukaisesti riittävän tasoisen suojan yhteisöstä siirrettäville matkustajarekisteritiedoille, jotka koskevat lentoliikennettä Kanadaan.
2 artikla
Tämä päätös koskee CBSA:n tarjoaman tietosuojan riittävyyttä suhteessa direktiivin 95/46/EY 25 artiklan 1 kohdan vaatimusten täyttymiseen, eikä sillä ole vaikutusta kyseisessä direktiivissä olevien, henkilötietojen käsittelyä jäsenvaltioissa koskevien muiden säännösten täytäntöönpanemiseksi vahvistettujen ehtojen tai rajoitusten soveltamiseen.
3 artikla
1. Rajoittamatta jäsenvaltioiden toimivaltaisten viranomaisten valtuuksia toteuttaa toimenpiteitä sen varmistamiseksi, että muiden säännösten kuin direktiivin 95/46/EY 25 artiklan nojalla annettuja kansallisia säännöksiä noudatetaan, jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan keskeyttääkseen CBSA:lle suunnatun tietojen siirron suojellakseen yksityishenkilöitä heidän henkilötietojensa käsittelyn osalta tapauksissa, joissa
a)
toimivaltainen Kanadan viranomainen on todennut, ettei CBSA noudata sovellettavia tietosuojavaatimuksia, tai
b)
on erittäin todennäköistä, ettei liitteessä esitettyjä tietosuojavaatimuksia noudateta, ja on perusteltua aihetta olettaa, ettei CBSA parhaillaan tai jatkossa viipymättä toteuta vaadittavia toimenpiteitä asian ratkaisemiseksi, tiedonsiirron jatkaminen aiheuttaisi vakavan vaaran rekisteröidyille, ja jäsenvaltion toimivaltaiset viranomaiset ovat olosuhteisiin nähden kohtuullisin toimin pyrkineet antamaan CBSA:lle asiaa koskevan ilmoituksen ja tilaisuuden vastata siihen.
2. Keskeytys on purettava heti, kun tietosuojavaatimusten noudattaminen on varmistettu ja tästä on ilmoitettu asianomaisten jäsenvaltioiden toimivaltaisille viranomaisille.
4 artikla
1. Jäsenvaltioitten on viipymättä ilmoitettava komissiolle 3 artiklan nojalla toteutetuista toimenpiteistä.
2. Jäsenvaltiot ja komissio tiedottavat toisilleen kaikista tietosuojavaatimusten muutoksista sekä tapauksista, joissa liitteessä esitettyjen CBSA:n tietosuojavaatimusten noudattamisesta vastuussa olevat elimet eivät pysty varmistamaan periaatteiden noudattamista.
3. Jos 3 artiklan sekä tämän artiklan 1 ja 2 kohdan nojalla saadut tiedot osoittavat, etteivät perusvaatimukset riittävästä suojasta luonnollisille henkilöille toteudu tai ettei jokin liitteessä esitettyjen CBSA:n tietosuojavaatimusten noudattamisesta vastuussa oleva elin tosiasiallisesti hoida tehtäväänsä, asiasta tiedotetaan CBSA:lle ja tarvittaessa ryhdytään direktiivin 95/46/EY 31 artiklan 2 kohdassa tarkoitetun menettelyn mukaisiin toimenpiteisiin, joiden tarkoituksena on peruuttaa tämä päätös tai keskeyttää sen soveltaminen.
5 artikla
Tämän päätöksen soveltamista valvotaan, ja direktiivin 95/46/EY 31 artiklalla perustetulle komitealle raportoidaan kaikista merkittävistä havainnoista, joihin luetaan myös kaikki seikat, jotka voivat vaikuttaa tämän päätöksen 1 artiklassa esitettyyn arvioon, jonka mukaan CBSA:lle siirrettävien lentomatkustajien PNR-tietoihin sisältyvien henkilötietojen suojan taso on direktiivin 95/46/EY 25 artiklan mukaisessa merkityksessä riittävä.
6 artikla
Jäsenvaltioiden on toteutettava kaikki tämän päätöksen noudattamisen edellyttämät toimenpiteet neljän kuukauden kuluessa siitä, kun päätös on annettu tiedoksi.
7 artikla
Tämän päätöksen voimassaolo päättyy kolme vuotta ja kuusi kuukautta sen tiedoksi antamisen jälkeen, jollei voimassaoloa pidennetä direktiivin 95/46/EY 31 artiklan 2 kohdassa säädetyn menettelyn mukaisesti.
8 artikla
Tämä päätös on osoitettu kaikille jäsenvaltioille.
Tehty Brysselissä 6 päivänä syyskuuta 2005.

Labels: 10
8
0
12
18