Document ID: 32006D0253

KOMMISSIONENS BESLUT
av den 6 september 2005
om adekvat skydd av de personuppgifter i de PNR (Passenger Name Record) för flygpassagerare som överförs till den kanadensiska gränsmyndigheten (Canada Border Services Agency - CBSA)
[delgivet med nr K(2005) 3248]
(Text av betydelse för EES)
(2006/253/EG)
EUROPEISKA GEMENSKAPERNAS KOMISSION HAR ANTAGIT DENNA BESLUT
med beaktande av fördraget om upprättandet av Europeiska gemenskapen,
med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), särskilt artikel 25.6, och
av följande skäl:
(1)
Enligt direktiv 95/46/EG skall medlemsstaterna föreskriva att överföring av personuppgifter till ett tredjeland endast får ske om ifrågavarande tredjeland säkerställer en adekvat skyddsnivå för uppgifterna och om medlemsstatens lagar genom vilka andra bestämmelser i direktivet genomförs efterlevs före överföringen.
(2)
Kommissionen kan fastställa att ett tredjeland har en adekvat skyddsnivå. I sådana fall får personuppgifter överföras från medlemsstaterna utan att det behövs några ytterligare garantier.
(3)
Enligt direktiv 95/46/EG skall bedömningen av skyddsnivån ske mot bakgrund av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter, och vissa för överföringen relevanta aspekter som anges i artikel 25.2 i direktivet skall beaktas särskilt.
(4)
I samband med lufttransporter avses med Passenger Name Record (PNR) en uppsättning uppgifter om varje passagerares resa som de bokningsansvariga och andra medverkande lufttrafikföretag behöver för bokning och bokningskontroll (2). I detta beslut skall begreppet ”passagerare” också omfatta besättningsmedlemmar. Med ”lufttrafikföretag som ansvarar för bokningen” menas det lufttrafikföretag som hanterade passagerarens ursprungliga bokning eller det lufttrafikföretag vid vilket passageraren gjorde ytterligare bokningar efter resans början. Med ”deltagande lufttrafikföretag” menas lufttrafikföretag hos vilka det lufttrafikföretag som ansvarar för bokningen har begärt att få boka platser till en passagerare, på en eller flera flygningar.
(5)
Den kanadensiska gränsmyndigheten (Canada Border Services Agency - CBSA) kräver att alla lufttrafikföretag som bedriver passagerartrafik till Kanada skall ge CBSA elektronisk tillgång till de PNR-uppgifter som samlas in och lagras i lufttrafikföretagens elektroniska boknings- och avgångskontrollsystem.
(6)
Kraven på överföring av personuppgifter i flygpassagerarnas PNR till CBSA grundar sig på 107.1 § i den kanadensiska tullagen (Customs Act) och 148 d § i den kanadensiska immigrations- och flyktingskyddslagen (Immigration and Refugee Protection Act) samt på de förordningar som antagits med tillämpning av dessa lagar (3).
(7)
De kanadensiska lagarna i fråga syftar till att öka säkerheten och skärpa villkoren för in- och utresa i landet. Kanada har suverän beslutanderätt i dessa frågor inom det egna rättsskipningsområdet. De krav som ställs strider inte heller mot Kanadas internationella åtaganden. Kanada är ett demokratiskt land och ett rättssamhälle med en stark tradition när det gäller medborgerliga friheter. Lagstiftningsprocessens legitimitet och den dömande maktens styrka och oberoende går inte att ifrågasätta. Pressfriheten är en annan stark garanti mot kränkningar av medborgerliga friheter.
(8)
Gemenskapen stöder Kanadas kamp mot terrorismen fullt ut, inom de begränsningar som följer av gemenskapsrätten. Enligt gemenskapsrätten skall en nödvändig balans mellan säkerhetshänsyn och skydd av den personliga integriteten upprätthållas. I artikel 13 i direktiv 95/46/EG fastställs t.ex. att medlemsstaterna får stifta lagar för att begränsa omfattningen av vissa krav i direktivet om en sådan begränsning är nödvändig med hänsyn till medlemsstatens nationella säkerhet, försvar eller allmänna säkerhet. Samma villkor gäller om begränsningen är nödvändig för att förebygga, utreda eller beivra brott.
(9)
Överföringen av uppgifter gäller vissa registeransvariga, nämligen lufttrafikföretag som flyger mellan gemenskapen och Kanada, och avser endast en mottagare i Kanada, CBSA.
(10)
Varje avtal som ingås för att skapa rättsliga ramar för överföringar av PNR till Kanada, särskilt på grundval av detta beslut, bör vara tidsbegränsat. En överenskommelse har träffats om en period på tre och ett halvt år. Under denna period kan omständigheterna förändras avsevärt och gemenskapen och Kanada är därför överens om att det kommer att bli nödvändigt att se över avtalet.
(11)
När CBSA tar emot PNR behandlar den flygpassagerarnas personuppgifter i enlighet med villkoren i den åtagandeförklaring som myndigheten avgav i samband med tillämpningen av CBSA:s PNR-program (hädanefter kallad ”åtagandeförklaringen”) samt i Kanadas nationella lagstiftning i den omfattning den nämns i åtagandeförklaringen.
(12)
När det gäller Kanadas nationella lagstiftning är lagen om integritetsskydd (Privacy Act), lagen om tillgång till information (Access to Information Act) och 107 § i tullagen relevanta i detta sammanhang, därför att de fastställer villkoren för när CBSA kan avvisa en begäran om utlämnande av uppgifter och därigenom säkra en konfidentiell hantering av PNR. Lagen om integritetsskydd reglerar utlämnande av PNR till den registrerade personen, vilket har ett nära samband med dennes rätt till tillgång till uppgifter. Lagen om integritetsskydd gäller bara personer som befinner sig i Kanada. CBSA ger dock också utländska medborgare som inte befinner sig i Kanada tillgång till deras PNR-uppgifter.
(13)
Enligt punkt 43 i åtagandeförklaringen har de enskilda åtagandena i förklaringen antingen införlivats i den befintliga kanadensiska lagstiftningen eller fastställts i nationella författningar som särskilt utformats för detta ändamål, och som således har rättsverkan. Åtagandeförklaringen kommer att offentliggöras i sin helhet i Canada Gazette. Den utgör således ett viktigt och väl övervägt åtagande från CBSA, och Kanada och gemenskapen kommer gemensamt att kontrollera hur den efterlevs. Bristande efterlevnad skulle på så sätt kunna påtalas via rättsliga, administrativa och politiska kanaler, beroende på vad som är mest lämpligt. Om bristerna kvarstår skulle följden bli att detta beslut upphävs.
(14)
De normer som CBSA kommer att tillämpa för behandlingen av passagerares PNR-uppgifter omfattar nödvändiga grundprinciper för att säkerställa en adekvat skyddsnivå för fysiska personer, och de bygger på den kanadensiska lagstiftningen och åtagandeförklaringen.
(15)
När det gäller principen om ändamålsbegränsning skall flygpassagerares personuppgifter i PNR som överförs till CBSA behandlas för ett särskilt ändamål och kommer därför endast att användas eller lämnas vidare om detta inte strider mot ändamålet för överföringen. PNR-uppgifter kommer endast att användas i syfte att förebygga och bekämpa terrorism och därmed relaterad kriminalitet samt andra allvarliga gränsöverskridande brott, inklusive organiserad brottslighet.
(16)
När det gäller principen om uppgifternas kvalitet och proportionalitet, som skall beaktas i samband med de viktiga allmänintressen som är skälet till att PNR-uppgifterna överförs, kommer CBSA inte att ändra i PNR-uppgifterna efter det att den mottagit dem. Högst 25 PNR-kategorier kommer att överföras och CBSA kommer att rådgöra och träffa ett avtal med Europeiska kommissionen innan man företar en eventuell översyn av de 25 obligatoriska PNR-fälten i bilaga A. Ytterligare personuppgifter som söks som ett direkt resultat av konkreta PNR-uppgifter får, när det gäller andra källor än offentliga register, endast inhämtas via lagliga kanaler. Generellt sett kommer PNR-uppgifter att tas bort efter högst tre år och sex månader.
(17)
När det gäller öppenhetsprincipen kommer CBSA att informera resenärer om syftet med överföringen och behandlingen av uppgifterna samt lämna uppgifter om den registeransvariges identitet och eventuella andra uppgifter.
(18)
När det gäller säkerhetsprincipen kommer CBSA att vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder med hänsyn till den risk som behandlingen innebär.
(19)
De personer som befinner sig i Kanada har i enlighet med lagen om integritetsskydd rätt att få tillgång till uppgifterna, rätt att korrigera dem samt rätt att få en anteckning införd i registret. CBSA kommer också att utsträcka dessa rättigheter när det gäller PNR-uppgifter som den förfogar över till utländska medborgare som inte befinner sig i Kanada. De undantag som beskrivs motsvarar i stort sett de begränsningar som medlemsstaterna kan införa enligt artikel 13 i direktiv 95/46/EG.
(20)
Vidareöverföring till andra offentliga myndigheter, även utländska, kan efter en bedömning av varje enskilt fall, göras för ändamål som motsvarar eller överensstämmer med dem som fastställs i förklaringen om ändamålsavgränsning och omfatta en begränsad mängd uppgifter. Överföringar kan också göras för att skydda den registrerades eller andra personers vitala intressen, särskilt när det gäller väsentliga hälsorisker, i samband med rättsliga förfaranden eller på grund av andra lagfästa krav. De organ som mottar uppgifterna får, i enlighet med de uttryckliga bestämmelserna om utlämnande av uppgifter, endast använda uppgifterna för dessa ändamål, och de måste ha CBSA:s godkännande för att få vidareöverföra uppgifterna. Inga andra utländska, federala, delstatliga eller lokala myndigheter har direkt elektronisk tillgång till PNR-uppgifter via CBSA:s databaser. CBSA kommer att vägra att offentliggöra PNR, med stöd av undantag från de relevanta bestämmelserna i lagen om tillgång till information och lagen om integritetsskydd.
(21)
CBSA tar inte emot känsliga uppgifter i den mening som avses i artikel 8 i direktiv 95/46/EG.
(22)
När det gäller mekanismer för säkerställande av att CBSA följer ovan nämnda principer, har man beslutat om utbildning och information av personalen inom CBSA och infört påföljder som kan användas mot enskilda anställda. Övervakningen av hur CBSA respekterar den personliga integriteten i allmänhet sköts av den oberoende dataskyddsmyndigheten Office of the Canadian Privacy Commissioner i enlighet med den kanadensiska stadgan om fri- och rättigheter (Charter of Rights and Freedoms) och lagen om integritetsskydd. Kanadas dataskyddsmyndighet (Privacy Commissioner) kan behandla klagomål som inkommit från en dataskyddsmyndighet i en EU-medlemsstat på en EU-medborgares vägnar, om den klagande anser att CBSA inte har behandlat ärendet på ett tillfredsställande sätt. CBSA och en gupp som leds av kommissionen kommer tillsammans att årligen granska hur åtagandeförklaringen efterlevs.
(23)
För att värna om principen om öppenhet och för att de behöriga myndigheterna i medlemsstaterna skall kunna garantera att fysiska personer skyddas i samband med behandling av deras personuppgifter, är det nödvändigt att specificera under vilka särskilda omständigheter som det är motiverat att tills vidare avbryta vissa uppgiftsöverföringar, oavsett om skyddsnivån befunnits vara adekvat.
(24)
Arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter, som inrättats med stöd av artikel 29 i direktiv 95/46/EG, har avgett yttranden om den skyddsnivå som kanadensiska myndigheter har för passageraruppgifter, vilka fungerat som vägledning för kommissionen i samband med förhandlingarna med CBSA. Kommissionen har tagit hänsyn till dessa yttranden vid utarbetandet av detta beslut (4).
(25)
De åtgärder som fastställs i detta beslut är förenliga med yttrandet från den kommitté som inrättats i enlighet med artikel 31.1 i direktiv 95/46/EG.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
För tillämpningen av artikel 25.2 i direktiv 95/46/EG skall Kanadas tull- och gränsskyddsmyndighet (Canadian Customs Border Services Agency) (hädanefter kallad CBSA) anses erbjuda en adekvat skyddsnivå för de PNR-uppgifter avseende flyg till Kanada som överförs från Europeiska unionen i överensstämmelse med åtagandeförklaringen i bilagan.
Artikel 2
Detta beslut avser den skyddsnivå som CBSA erbjuder i syfte att uppfylla kraven i artikel 25.1 i direktiv 95/46/EG och påverkar inte andra villkor eller begränsningar varigenom andra bestämmelser i direktivet genomförs med avseende på behandlingen av personuppgifter i medlemsstaterna.
Artikel 3
1. Behöriga myndigheter i medlemsstaterna får, utan att det påverkar deras befogenheter att vidta åtgärder för att säkerställa efterlevnaden av nationella bestämmelser som antagits enligt andra bestämmelser än artikel 25 i direktiv 95/46/EG, utöva sina befogenheter att tills vidare avbryta uppgiftsöverföringar till CBSA för att skydda enskilda med avseende på behandlingen av deras personuppgifter i följande fall:
a)
Om en behörig kanadensisk myndighet fastställt att CBSA bryter mot tillämpliga skyddsregler.
b)
Om sannolikheten är stor att skyddsreglerna i bilagan inte efterlevs, om det finns rimliga skäl att anta att CBSA inte vidtar eller inte kommer att vidta adekvata åtgärder i tid för att lösa ärendet, om fortsatt överföring skulle innebära en överhängande risk för att de registrerade lider allvarlig skada och de behöriga myndigheterna i medlemsstaten under dessa omständigheter har vidtagit rimliga åtgärder för att underrätta CBSA och gett den tillfälle att yttra sig.
2. Avbrottet skall upphävas så snart skyddsreglerna börjat efterlevas och de behöriga myndigheterna i medlemsstaten har underrättats om detta.
Artikel 4
1. Medlemsstaterna skall utan dröjsmål underrätta kommissionen om åtgärder som vidtagits med stöd av artikel 3.
2. Medlemsstaterna och kommissionen skall underrätta varandra om varje förändring av skyddsreglerna och om fall där de åtgärder som vidtas av organ som ansvarar för att se till att CBSA följer skyddsreglerna i bilagan, inte leder till att dessa regler efterlevs.
3. Om den information som inhämtats enligt artikel 3 och punkterna 1 och 2 i denna artikel visar att nödvändiga grundprinciper för att säkerställa en adekvat skyddsnivå för fysiska personer inte längre efterlevs, eller att ett organ som ansvarar för att se till att CBSA följer skyddsreglerna i bilagan inte fullgör denna uppgift på ett verkningsfullt sätt, skall CBSA underrättas om detta och vid behov skall det förfarande som anges i artikel 31.2 i direktiv 95/46/EG gälla i syfte att tills vidare eller slutgiltigt upphäva detta beslut.
Artikel 5
Tillämpningen av detta beslut skall övervakas och alla relevanta slutsatser skall rapporteras till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG, vilket även omfattar alla omständigheter som skulle kunna påverka konstaterandet i artikel 1 i detta beslut om att skyddet av personuppgifter i de flygpassagerares PNR som överförs till CBSA är adekvat i den mening som avses i artikel 25 i direktiv 95/46/EG.
Artikel 6
Medlemsstaterna skall vidta alla erfordliga åtgärder för att efterkomma detta beslut senast fyra månader efter det att det har meddelats.
Artikel 7
Detta beslut upphör att gälla tre år och sex månader efter det att det har meddelats, om det inte förlängs i enlighet med det förfarande som föreskrivs i artikel 31.2 i direktiv 95/46/EG.
Artikel 8
Detta beslut riktar sig till medlemsstaterna.
Utfärdat i Bryssel den 6 september 2005.

Labels: 10
8
0
12
18