Document ID: 32004D0535

ODLOČBA KOMISIJE
z dne 14. maja 2004
o ustreznem varstvu osebnih podatkov, vsebovanih v Evidenci imen letalskih potnikov, posredovani Uradu za carinsko in mejno zaščito Združenih držav Amerike
(notificirana pod dokumentarno številko K(2004) 1914)
(Besedilo velja za EGP)
(2004/535/ES)
KOMISIJA EVROPSKIH SKUPNOSTI JE -
ob upoštevanju Pogodbe o ustanovitvi Evropske skupnosti,
ob upoštevanju Direktive 95/46/ES Evropskega parlamenta in Sveta z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (1), in zlasti člena 25(6) Direktive,
ob upoštevanju naslednjega:
(1)
V skladu z Direktivo 95/46/ES morajo države članice zagotoviti, da se posredovanje osebnih podatkov tretji državi lahko izvede le, če tretja država zagotovi ustrezno raven varstva in, če se pred posredovanjem upoštevajo zakoni držav članic, ki uveljavljajo druge določbe Direktive.
(2)
Komisija lahko ugotovi, da tretja država zagotavlja ustrezno raven varstva. V takšnem primeru se lahko osebni podatki posredujejo iz držav članic, ne da bi bila potrebna dodatna jamstva.
(3)
V skladu z Direktivo 95/46/ES je treba raven varstva podatkov oceniti ob upoštevanju vseh okoliščin, povezanih s postopkom posredovanja ali z nizom postopkov posredovanja podatkov, ob tem pa posebej paziti na vrsto okoliščin, ki vplivajo na posredovanje in so naštete v členu 25(2) Direktive.
(4)
V letalskem prometu je „Evidenca imen letalskih potnikov“ (Passenger Name Record, v nadaljevanju PNR) zbirka zahtevanih podatkov za potovanje posameznega potnika, ki vsebuje vse potrebne informacije, s katerimi lahko „glavna“ letalska družba in udeležene letalske družbe obdelujejo in nadzorujejo rezervacije. Za namene te odločbe, izraza „potnik“ in „potniki“ vključujeta tudi člane posadke. „Glavna letalska družba“ je letalska družba, pri kateri je potnik prvotno rezerviral let ali pri kateri je rezerviral dodatne lete po začetku potovanja. „Udeležene letalske družbe“ so katere koli letalske družbe, pri katerih je glavna letalska družba na enem ali več letih zaprosila za mesto, ki naj se hrani za potnika.
(5)
Urad za carinsko in mejno zaščito Združenih držav (United States Bureau of Customs and Border Protection, v nadaljevanju Urad CBP) Ministrstva za domovinsko varnost (Department of Homeland Security, v nadaljevanju DHS) zahteva od vsakega prevoznika, ki opravlja potniške lete v okviru tujega letalskega prevozništva v smeri proti in iz Združenih držav, da mu omogoča elektronski dostop do PNR, tako da se PNR zbere in shrani v avtomatski rezervacijski sistem letalskega prevoznika.
(6)
Zahteve, da se osebni podatki o letalskih potnikih iz PNR posredujejo Uradu CBP, temeljijo na zakonu, ki so ga sprejele Združene države novembra 2001 (2), in na izvedbenih uredbah, ki jih je v okviru tega zakona sprejel Urad CBP (3).
(7)
Zadevna zakonodaja Združenih držav obravnava povečanje varnosti in pogoje, pod katerimi lahko posamezniki vstopijo v državo in jo zapustijo, torej zadeve, nad katerimi imajo Združene države v okviru lastne jurisdikcije suvereno pristojnost odločanja. Poleg tega podane zahteve niso v neskladju s katerimi koli mednarodnimi obveznostmi, ki so jih prevzele Združene države. Združene države so demokratična in pravna država z močno tradicijo državljanskih svoboščin. Nikakršen dvom ne obstaja glede legitimnosti njihovega zakonodajnega postopka ter moči in neodvisnosti njihovega sodstva. Svoboda tiska je še dodatno trdno jamstvo proti zlorabi državljanskih svoboščin.
(8)
Skupnost v celoti podpira Združene države v boju proti terorizmu v skladu z omejitvami, ki jih postavlja pravo Skupnosti. Pravo Skupnosti omogoča vzpostavitev potrebnega ravnotežja med pomisleki glede varnosti in skrbjo za varstvo zasebnosti. Na primer: člen 13 Direktive 95/46/ES določa, da lahko države članice sprejmejo predpise za omejitev obsega nekaterih zahtev te direktive, če je to potrebno zaradi državne varnosti, obrambe, javne varnosti ter preprečevanja, preiskovanja, odkrivanja in preganjanja kaznivih dejanj.
(9)
Zadevna posredovanja podatkov vključujejo točno določene upravljavce, in sicer letalske družbe, ki opravljajo lete med Skupnostjo in Združenimi državami, in zgolj enega prejemnika v Združenih državah, in sicer Urad CBP.
(10)
Katero koli ureditev glede vzpostavitve pravnega okvira za posredovanja PNR Združenim državam, zlasti v okviru te direktive, je treba časovno omejiti. Sprejet je bil dogovor za tri in pol letno obdobje. Tekom tega obdobja se lahko okoliščine znatno spremenijo; Skupnost in Združene države se strinjajo, da bo potrebna revizija ureditve.
(11)
Urad CBP obdela prejete osebne podatke, vsebovane v evidenci imen letalskih potnikov PNR, v skladu s pogoji, določenimi v Zavezah Urada za carinsko in mejno zaščito (CBP) Ministrstva za domovinsko varnost z dne 11. maja 2004 (v nadaljevanju imenovane „Zaveze“) in v domači zakonodaji Združenih držav, v obsegu, podanem v Zavezah.
(12)
Kar zadeva domačo zakonodajo v Združenih državah, je Zakon o prostem dostopu do informacij (Freedom of Information Act, v nadaljevanju FOIA) v tem kontekstu uporaben v toliko, da nadzira pogoje, pod katerimi lahko Urad CBP zavrne zahteve za razkritje informacij, s čimer ostane PNR zaupen. Zakon ureja razkritje PNR posamezniku, na katerega se evidenca nanaša, kar je tesno povezano s pravico dostopa do podatkov posameznika, na katerega se osebni podatki nanašajo. Zakon FOIA se uporablja brez razlik za državljane Združenih držav in državljane drugih držav.
(13)
Kar zadeva Zaveze in v skladu z odstavkom 44 le teh, izjave iz Zavez so bile ali bodo vključene v zakone, uredbe, direktive ali druge politične instrumente v Združenih državah, in bodo tako imele pravni učinek na različnih ravneh. Zaveze bodo v celoti objavljene v Zveznem registru v pristojnosti DHS. Kot take predstavljajo resno in dobro premišljeno politično zavezo s strani DHS; Združene države in Skupnost pa bodo v skupnem pregledu preučile njihovo upoštevanje. Neupoštevanje bi bilo mogoče ustrezno izpodbijati po pravnih, upravnih in političnih poteh in če bi bilo vztrajno, bi lahko privedlo do prekinitve učinkov te direktive.
(14)
Standardi, po katerih bo Urad CBP obdeloval podatke o potnikih PNR na podlagi zakonodaje Združenih držav in v skladu z Zavezami, zajemajo osnovna načela, potrebna za ustrezno raven varstva fizičnih oseb.
(15)
Kar zadeva načelo o omejitvi namena, se bodo osebni podatki letalskih potnikov, vsebovani v zapisih PNR in posredovani Uradu CBP, obdelali za poseben namen, nato pa se bodo uporabili ali nadalje posredovali samo v toliko, kolikor to ne bo v nasprotju z namenom posredovanja. Zlasti se bodo podatki PNR uporabili izključno za namene preprečevanja in boja proti: terorizmu in z njim povezanimi kaznivimi dejanji; drugim hudim kaznivim dejanjem, vključno z organiziranim kriminalom, ki so po naravi transnacionalna; in proti izogibanju sodnim nalogom ali priporu zaradi navedenih kaznivih dejanj.
(16)
Zaradi načela kakovosti in sorazmernosti podatkov, ki ga je treba upoštevati v zvezi s pomembnimi razlogi javnega interesa, zaradi katerih se posredujejo podatki PNR, posredovanih podatkov PNR Urad CBP ne bo spremenil. Preneslo se bo največ 34 kategorij podatkov PNR in organi Združenih držav se bodo posvetovali s Komisijo, preden bodo dodali kakršne koli nove zahteve. Dodatne osebne informacije, iskane neposredno na podlagi podatkov PNR, bodo pridobljene prek nedržavnih virov samo po zakonitih poteh. Kot splošno pravilo bo PNR izbrisan po največ treh letih in šestih mesecih, razen podatkov, ki so bili pregledani zaradi specifičnih preiskav ali so bili drugače ročno pregledani.
(17)
Glede načela preglednosti, bo Urad CBP potnikom zagotovil informacije glede namena posredovanja in obdelave podatkov ter glede identitete upravljavca podatkov v tretji državi kot tudi druge informacije.
(18)
Glede načela varnosti sprejme Urad CBP tehnične in organizacijske varnostne ukrepe, ki ustrezajo tveganju, ki ga predstavlja obdelava podatkov.
(19)
Priznajo se pravice dostopa in spreminjanja, da posameznik, na katerega se podatki nanašajo, lahko zahteva kopijo podatkov PNR in popravek netočnih podatkov. Predvidene izjeme so v širšem smislu primerljive z omejitvami, ki jih lahko določijo države članice v skladu s členom 13 Direktive 95/46/ES.
(20)
Nadaljnja posredovanja se bodo izvršila drugim vladnim organom, vključno s tujimi vladnimi organi, katerih naloga je boj proti terorizmu ali uveljavljanje zakona, in sicer odvisno od primera do primera, za namene, ki ustrezajo tistim, določenim v izjavi o omejitvi namena. Posredovanja se lahko izvršijo tudi zaradi varovanja ključnih interesov posameznika, na katerega se nanašajo podatki, ali drugih oseb, zlasti glede pomembnih zdravstvenih tveganj, ali v okviru kakršnih koli kazenskih postopkov ali, če to sicer zahteva zakon. Prejemne agencije morajo, v skladu z jasno določenimi pogoji razkritja podatkov, podatke uporabiti izključno v navedene namene in jih ne smejo posredovati dalje brez soglasja Urada CBP. Nobena druga tuja, zvezna, državna ali lokalna agencija nima neposrednega elektronskega dostopa do podatkov PNR preko zbirk podatkov Urada CBP. Urad CBP bo zavrnil javno razkritje zapisov PNR na podlagi izjem od ustreznih določb Zakona FOIA.
(21)
Urad CBP ne uporablja občutljivih podatkov v smislu člena 8 Direktive 95/46/ES, in dokler ni vzpostavljen sistem filtrov za ločevanje takšnih podatkov od zapisov PNR, posredovanih Združenim državam, se Urad CBP zaveže(1), da bo uvedel ukrepe za njihov izbris in da jih v tem času ne bo uporabljal.
(22)
Glede mehanizmov izvrševanja za zagotavljanje spoštovanja načel s strani Urada CBP, je za usposabljanje in obveščanje osebja Urada CBP poskrbljeno, prav tako tudi za sankcije za posamezne člane osebja. Spoštovanje zasebnosti s strani Urada CBP bo na splošno pod nadzorom vodje Službe za varstvo zasebnosti (Chief Privacy Officer) pri DHS, ki je uradnik DHS, ima pa visoko stopnjo organizacijske samostojnosti in mora vsako leto poročati Kongresu. Posamezniki, katerih podatki PNR so bili posredovani, lahko naslovijo pritožbo na Urad CBP ali v primeru, da pritožba ni bila rešena, na vodjo Službe za varstvo zasebnosti pri DHS, neposredno ali prek organov za varstvo podatkov v državah članicah. Služba za varstvo zasebnosti pri DHS bo po pospešenem postopku obravnavala pritožbe, predložene s strani organov za varstvo podatkov v državah članicah, v imenu oseb s prebivališčem v Skupnosti, če katera od teh oseb meni, da Urad CBP ali Služba za varstvo zasebnosti pri DHS, nista zadovoljivo preučila njene pritožbe. Letni skupni pregled, ki ga bosta izvedla Urad CBP, v povezavi z DHS, in skupina pod vodstvom Komisije, bo preveril skladnost z Zavezami.
(23)
Zaradi preglednosti in zato, da se zaščiti sposobnost pristojnih organov držav članic, da zagotovijo varstvo posameznikov v zvezi z obdelavo njihovih osebnih podatkov, je treba določiti izjemne okoliščine, v katerih se lahko upraviči prekinitev pridobivanja in posredovanja specifičnih podatkov, ne glede na ugotovljeno ustrezno varstvo.
(24)
Delovna skupina na področju varstva posameznikov v zvezi z obdelavo osebnih podatkov, ustanovljena v skladu s členom 29 Direktive 95/46/ES, je podala mnenja o stopnji varstva posameznikov, zagotovljeni za podatke potnikov s strani organov Združenih držav, ki so Komisiji služila kot podlaga za njena pogajanja z DHS. Komisija je ta mnenja upoštevala pri pripravi te Odločbe (4).
(25)
Ukrepi, predvideni s to odločbo, so v skladu z mnenjem Odbora, ustanovljenega v skladu s členom 31(1) Direktive 95/46/ES -
SPREJELA NASLEDNJO ODLOČBO:
Člen 1
Za namene člena 25(2) Direktive 95/46/ES velja, da Urad za carinsko in mejno zaščito Združenih držav (United States’ Bureau of Customs and Border Protection, v nadaljevanju CBP) zagotavlja primerno raven varstva za podatke PNR, prenesene iz Skupnosti, v zvezi z leti v smeri proti in iz Združenih držav, v skladu z Zavezami, določenimi v Prilogi I.
Člen 2
Ta odločba zadeva ustreznost varstva, ki ga zagotavlja Urad CBP, z namenom spoštovati zahteve iz člena 25(1) Direktive 95/46/ES in ne bo vplivala na druge pogoje ali omejitve za izvajanje drugih določb navedene direktive, ki zadevajo obdelavo osebnih podatkov znotraj držav članic.
Člen 3
1. Brez poseganja v njihove pristojnosti za sprejem ukrepov za zagotavljanje skladnosti z nacionalnimi določbami, ki so bile sprejete na podlagi drugih določb, razen člena 25 Direktive 95/46/ES, lahko pristojni organi v državah članicah uporabijo svoja obstoječa pooblastila, da prekinejo posredovanje podatkov Uradu CBP zato, da bi zavarovali posameznike v zvezi z obdelavo njihovih osebnih podatkov, v naslednjih primerih:
(a)
če je pristojni organ Združenih držav ugotovil, da Urad CBP krši veljavne standarde varstva; ali
(b)
če obstaja znatna možnost, da so kršeni standardi varstva, določeni v Prilogi, obstajajo upravičeni razlogi za prepričanje, da Urad CBP ne sprejema ali ne bo sprejel ustreznih in pravočasnih ukrepov za rešitev zadevnega vprašanja, stalni prenos podatkov bi ustvaril neposredno nevarnost za povzročitev hude škode posameznikom, na katere se podatki nanašajo, in so se pristojni organi v državah članicah primerno trudili, da bi v danih okoliščinah obvestili Urad CBP in mu dali priložnost, da se odzove.
2. Začasna prekinitev se konča takoj, ko so zagotovljeni standardi varstva in je pristojni organ države članice o tem obveščen.
Člen 4
1. Države članice nemudoma obvestijo Komisijo, ko sprejmejo ukrepe v skladu s členom 3.
2. Države članice in Komisija se medsebojno obveščajo o katerih koli spremembah v standardih varstva in o primerih, v katerih ukrepi organov, odgovornih za zagotavljanje skladnosti s standardi varstva s strani Urada CBP, določenimi v Prilogi, ne uspejo zagotoviti take skladnosti.
3. Če informacije, ki so zbrane v skladu s členom 3 in z odstavkoma 1 in 2 tega člena, dokazujejo, da se osnovna načela, potrebna za primerno raven varstva za fizične osebe, ne spoštujejo več, ali da kateri koli organ, odgovoren za zagotavljanje skladnosti s standardi varstva s strani Urada CBP, kot so določeni v Prilogi, ne izpolnjuje učinkovito svoje vloge, se obvesti Urad CBP in se po potrebi uporabi postopek iz člena 31(2) Direktive 95/46/ES z namenom razveljaviti ali prekiniti izvajanje te odločbe.
Člen 5
Izvajanje te odločbe se spremlja in kakršne koli uporabne ugotovitve se posredujejo Odboru, ustanovljenem v skladu s členom 31 Direktive 95/46/ES, vključno s katerimi koli dokaznimi dejstvi, ki bi lahko vplivali na ugotovitev iz člena 1 te odločbe, da je varstvo osebnih podatkov o letalskih potnikih v PNR, posredovanih Uradu CBP, ustrezno v smislu člena 25 Direktive 95/46/ES.
Člen 6
Države članice sprejmejo vse potrebne ukrepe za uskladitev z Odločbo v roku štirih mesecev od datuma uradnega obvestila o Odločbi.
Člen 7
Veljavnost te odločbe poteče tri leta in šest mesecev po datumu uradnega obvestila, razen če se v skladu s postopkom iz člena 31(2) Direktive 95/46/ES ne podaljša.
Člen 8
Ta odločba je naslovljena na države članice.
V Bruslju, 14. maja 2004

Labels: 11
8
0
12
18