DECYZJA KOMISJI
z dnia 6 września 2005 r.
w sprawie odpowiedniej ochrony danych osobowych zawartych w Imiennym Rejestrze Pasażerów linii lotniczych, przekazanym do Agencji Służb Granicznych Kanady
(notyfikowana jako dokument nr C(2005) 3248)
(Tekst mający znaczenie dla EOG)
(2006/253/WE)
KOMISJA WSPÓLNOT EUROPEJSKICH,
uwzględniając Traktat ustanawiający Wspólnotę Europejską,
uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 roku w sprawie ochrony osób w związku z przetwarzaniem danych osobowych oraz swobodnego przepływu takich danych (1), a w szczególności jej art. 25 ust. 6,
A także mając na uwadze, co następuje:
(1)
Na podstawie dyrektywy 95/46/WE, państwa członkowskie zobowiązane są zapewnić, że przekazanie danych osobowych państwu trzeciemu może mieć miejsce jedynie wtedy, gdy takie państwo trzecie zapewnia odpowiedni poziom ochrony i jeżeli ustawodawstwo państw członkowskich zapewniło spełnienie innych postanowień dyrektywy przed dokonaniem takiego przekazania.
(2)
Komisja może uznać, że państwo trzecie zapewnia odpowiedni poziom ochrony. W takim przypadku, dane osobowe mogą zostać przekazane z państw członkowskich bez wymagania dodatkowych gwarancji.
(3)
Na podstawie dyrektywy 95/46/WE, poziom ochrony danych powinien zostać oceniony w świetle wszystkich okoliczności związanych z operacją przekazania danych lub z kilkoma operacjami przekazania danych, przy czym szczególną uwagę należy zwrócić na szereg elementów właściwych dla danego przekazania i wymienionych w art. 25 ust. 2 dyrektywy.
(4)
W ramach transportu lotniczego, „Imienny Rejestr Pasażerów” (PNR) stanowi zapis wszystkich informacji wymaganych od każdego pasażera w celu dokonania rezerwacji, która następnie jest przetwarzana i kontrolowana przez linie lotnicze dokonujące rezerwacji oraz przez uczestniczące linie lotnicze (2). Dla celów niniejszej Decyzji pojęcia „pasażer” i „pasażerowie” obejmują również członków załogi. „Linia lotnicza dokonująca rezerwacji” oznacza linię lotniczą, w której pasażer dokonał swo jej rezerwacji, lub w której dokonano dodatkowych rezerwacji po rozpoczęciu podróży. „Linie lotnicze uczestniczące” oznaczają jakąkolwiek linię lotniczą, w której linia lotnicza dokonująca rezerwacji zarezerwowała dla pasażera miejsce na jeden lub więcej lotów.
(5)
Agencja Służb Granicznych Kanady (CBSA) wymaga od każdego przewoźnika obsługującego loty do Kanady zapewnienia elektronicznego dostępu do PNR w takim stopniu, w jakim informacje PNR są zebrane i zawarte w systemach rezerwacji automatycznej oraz systemach kontroli wylotów.
(6)
Wymogi dotyczące przekazania CBSA danych osobowych pasażerów lotniczych zawartych w PNR, oparte są o punkt 107.1 Ustawy Celnej oraz ust. 148 lit. d) Ustawy o Emigracji i Ochronie Uchodźców oraz na przepisach wykonawczych przyjętych zgodnie z tymi ustawami (3).
(7)
Wspomniane prawodawstwo kanadyjskie dotyczy zwiększenia bezpieczeństwa oraz warunków, na których osoby mogą wjechać na teren kraju. Jest to kwestia, w której Kanada ma suwerenne prawo podejmowania decyzji jurysdykcji ramach swojego prawodawstwa. Co więcej, wymogi tak określone nie są sprzeczne z jakimikolwiek międzynarodowymi zobowiązaniami podjętymi przez Kanadę. Kanada jest państwem demokratycznym, państwem prawa z silnymi tradycjami swobód obywatelskich. Legalność jej procesu stanowienia praw oraz siła i niezawisłość sądownictwa nie podlegają żadnej wątpliwości. Kolejnym gwarantem przeciwdziałającym naruszeniu swobód obywatelskich jest wolność prasy.
(8)
Wspólnota zobowiązuje się w pełni popierać Kanadę w walce z terroryzmem w granicach prawa wspólnotowego. Prawo wspólnotowe przewiduje działania w celu osiągnięcia koniecznej równowagi pomiędzy kwestiami bezpieczeństwa i zachowania prywatności. Na przykład art. 13 dyrektywy 95/46/WE stanowi, że państwa członkowskie mogą ustanawiać prawa ograniczające zakres niektórych wymagań tej dyrektywy, jeżeli jest to niezbędne ze względu na bezpieczeństwo narodowe, obronność, bezpieczeństwo publiczne, jak również prewencję, dochodzenie, wykrywanie i ściganie przestępstw kryminalnych.
(9)
Przedmiotowe przekazywanie danych odnosi się do konkretnych kontrolerów, a mianowicie linii lotniczych obsługujących loty ze Wspólnoty do Kanady oraz do wyłącznie jednego odbiorcy w Kanadzie, którym jest CBSA.
(10)
Jakiekolwiek porozumienie w sprawie ram prawnych dla przekazywania PNR do Kanady, w szczególności w oparciu o niniejszą decyzję, zawarte będzie na czas określony. Czas taki ustalono na trzy i pół roku. W tym okresie treść porozumienia może ulegać znacznym zmianom, a Wspólnota i Kanada zgadzają się, że dokonywanie kontroli takich porozumień będzie niezbędne.
(11)
Proces przetwarzania przez CBSA danych osobowych zawartych w przekazanych jej PNR pasażerów lotniczych, podlega warunkom określonym w Zobowiązaniach Agencji Służb Granicznych Kanady dotyczącym stosowania jej programu PNR, (zwanych dalej „Zobowiązaniami”) oraz krajowemu prawodawstwu kanadyjskiemu, w stopniu w jakim wskazano w Zobowiązaniach.
(12)
Jeżeli chodzi o prawodawstwo krajowe Kanady, w niniejszym kontekście stosowne są Ustawa o Prywatności, Ustawa o Dostępie do Informacji oraz punkt 107 Ustawy Celnej, w zakresie w jakim kontrolują one warunki, pod którymi CBSA może odmówić ujawnienia informacji, a tym samym zachować poufny charakter PNR. Ustawa o Prywatności reguluje ujawnienie PNR osobie, której ona dotyczy, co jest blisko związane z prawem jednostki do dostępu. Ustawa o Prywatności znajduje zastosowanie wyłącznie do osób przebywających w Kanadzie. Niemniej jednak CBSA dodatkowo udziela prawa dostępu do informacji PNR dotyczących cudzoziemców, którzy przebywają poza Kanadą.
(13)
W odniesieniu do Zobowiązań, i zgodnie z postanowieniami punktu 43 niniejszego dokumentu, stwierdzenia zawarte w Zobowiązaniach albo zostały włączone do istniejącego prawodawstwa kanadyjskiego, albo zawarte są w krajowych uregulowaniach, stworzonych specjalnie w tym celu, tak więc stwierdzenia te będą miały skutek prawny. Zobowiązania zostaną w całości opublikowane w Dzienniku Urzędowym Kanady. Stanowią one poważne i przemyślane zobowiązanie ze strony CBSA, a ich zgodność poddana będzie przeglądowi, dokonanemu wspólnie przez Kanadę i Wspólnotę. W razie niezgodności ich prawidłowość może zostać zakwestionowana kanałami administracyjnymi i politycznymi, i jeżeli taka nieprawidłowość będzie się utrzymywać, spowoduje to zawieszenie skutków niniejszej Decyzji.
(14)
Normy, zgodnie z którymi CBSA będzie przetwarzać dane zawarte w PNR pasażerów, w oparciu o prawodawstwo kanadyjskie i Zobowiązania obejmują podstawowe zasady zapewniające odpowiedni poziom ochrony stosowny dla osób fizycznych.
(15)
Jeżeli chodzi o zasadę ograniczenia celu, dane osobowe pasażerów lotniczych zawarte w PNR przekazanej do CBSA będą przetwarzane w określonym celu i w konsekwencji używane jedynie w takim zakresie, jaki jest zgodny z celem ich przekazania. W szczególności, dane PNR będą używane ściśle w celach przeciwdziałania i zwalczania: terroryzmu oraz związanych z nim przestępstw; innych poważnych przestępstw, w tym przestępczości zorganizowanej, gdyż z natury rzeczy mają one charakter międzynarodowy.
(16)
W odniesieniu do zasady jakości danych i proporcjonalności, która musi być brana pod uwagę w związku z ważnymi dla interesu publicznego powodami, dla których przekazywane są dane PNR, dane PNR dostarczone do CBSA nie będą przez nią następnie zmieniane. Przekazanych zostanie maksymalnie 25 kategorii danych PNR, a CBSA skonsultuje i uzgodni z Komisją Europejską dokonanie przeglądu 25 wymaganych elementów PNR, które zamieszczono w Załączniku A, przed przystąpieniem do takiego przeglądu. Dodatkowe informacje osobowe, których poszukiwanie będzie bezpośrednio wynikać z danych PNR, pozyskane zostaną ze źródeł pozarządowych wyłącznie legalnymi kanałami. Ogólną zasadą będzie usuwanie PNR najpóźniej po upływie 3 lat i 6 miesięcy.
(17)
W odniesieniu do zasady przejrzystości, CBSA zapewni podróżującym informacje w celu jej przekazania i przetworzenia, jak również ujawni tożsamość kontrolera danych oraz inne informacje.
(18)
W odniesieniu do zasady bezpieczeństwa, CBSA stosuje techniczne i organizacyjne środki bezpieczeństwa, właściwe dla zagrożeń wynikających z przetwarzania danych.
(19)
Prawa dostępu, wnoszenia korekt i adnotacji, przyjęte są w Ustawie o Prywatności dla osób przebywających w Kanadzie. CBSA rozszerzy te prawa tak, by odnośnie posiadanych przez nią informacji PNR objęły one cudzoziemców, przebywających poza Kanadą. Przewidziane wyjątki są w dużej mierze porównywalne z ograniczeniami, które mogą być nałożone przez państwa członkowskie na mocy art. 13 dyrektywy 95/46/WE.
(20)
W przyszłości dane przekazywane będą innym władzom państwowym, w tym władzom innych państw, na zasadzie przekazywania informacji każdorazowo potrzebnej dla danego przypadku, z przyczyn takich samych lub zgodnych z tymi, które zostały określone w stwierdzeniu o ograniczeniu celów dotyczącym minimalnej ilości danych. Przekazanie danych może również nastąpić wskutek zaistnienia potrzeby ochrony życiowych interesów osoby, której one dotyczą lub innych osób, zwłaszcza w przypadku znacznego zagrożenia dla zdrowia, jak również w razie jakiegokolwiek postępowania prawnego i innych sytuacji wymaganych prawem. Kategorycznie sprecyzowane warunki ujawnienia zobowiązują agencje otrzymujące przekazane dane do wykorzystania ich wyłącznie dla określonych celów i nie wolno im w przyszłości dalej przekazywać tych danych bez zgody CBSA. Żadne władze innego kraju, prowincji, federalne czy lokalne nie mają bezpośredniego elektronicznego dostępu do danych PNR poprzez bazę danych CBSA. CBSA odmówi publicznego ujawnienia PNR na podstawie zwolnienia z odpowiednich postanowień Ustawy o Dostępie do Informacji oraz Ustawy o Prywatności.
(21)
CBSA nie otrzymuje danych poufnych w rozumieniu art. 8 dyrektywy 95/46/WE.
(22)
W odniesieniu do mechanizmów wykonawczych, mających zapewnić zgodność postępowania CBSA z określonymi zasadami, przewidziane są szkolenia oraz informowanie personelu CBSA, jak również sankcje względem poszczególnych członków personelu. Ogólne przestrzeganie prywatności przez CBSA kontrolować będzie niezależny Urząd Kanadyjskiego Komisarza ds. Prywatności, zgodnie z warunkami określonymi w Kanadyjskiej Karcie Praw i Wolności oraz w Ustawie o Prywatności. Komisarz ds. Prywatności może kierować skargi do niego przesłane za pośrednictwem władz ds. ochrony danych w państwach członkowskich w imieniu mieszkańców Wspólnoty, jeżeli dany mieszkaniec uważa, że jego lub jej skarga nie została właściwie rozpatrzona przez CBSA. Zgodność ze Zobowiązaniami będzie corocznie poddawana kontroli w drodze przeglądu dokonywanego wspólnie przez CSBA oraz zespół ze strony Komisji.
(23)
W interesie przejrzystości i w celu zabezpieczenia zdolności właściwych władz w państwach członkowskich do zapewnienia bezpieczeństwa osób w zakresie przetwarzania ich danych osobowych, potrzebne jest określenie wyjątkowych warunków, w których uzasadnionym może być zawieszenie konkretnych przepływów danych, bez względu na znalezienie odpowiedniej ochrony.
(24)
Grupa Robocza ds. Ochrony Osób pod względem Przetwarzania Danych Osobowych, utworzona na mocy art. 29 dyrektywy 95/46/WE, wydała opinie na temat poziomu ochrony zapewnionej przez władze kanadyjskie danym pasażerów, o którą opierała się Komisja w swoich negocjacjach z CBSA. Komisja uwzględniła te opinie przygotowując niniejszą Decyzję (4).
(25)
Środki przewidziane w niniejszej Decyzji są zgodne z opinią Komisji utworzonej na mocy art. 31 ust. 1 dyrektywy 95/46/WE,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
Artykuł 1
Dla celów art. 25 ust. 2 dyrektywy 95/46/WE, uważa się, że Kanadyjska Agencja Służb Granicznych (zwana dalej w niniejszym dokumencie CBSA) ma zapewnić odpowiedni poziom ochrony danych PNR przekazywanych ze Wspólnoty w związku z lotami do Kanady, zgodnie ze Zobowiązaniami określonymi w Załączniku.
Artykuł 2
Niniejsza Decyzja dotyczy stopnia, w jakim ochrona zapewniona przez CBSA jest odpowiednia z punktu widzenia realizacji wymagań art. 25 ust. 1 dyrektywy 95/46/WE, przy czym nie ma ona wpływu na inne warunki lub ograniczenia określające wykonanie innych postanowień tej dyrektywy, które dotyczą przetwarzania danych osobowych na terenie państw członkowskich.
Artykuł 3
1. Bez uszczerbku dla swoich praw do podejmowania działań zapewniających zgodność z przepisami krajowymi, przyjętymi zgodnie z postanowieniami innymi niż w art. 25 dyrektywy 95/46/WE, kompetentne władze państw członkowskich mogą, celem ochrony osób w zakresie przetwarzania ich danych osobowych, wykonywać swoje istniejące prawa do zawieszania przepływu danych do CBSA w następujących przypadkach:
a)
Jeżeli kompetentne władze kanadyjskie ustaliły, że CBSA naruszyła stosowne normy ochrony; lub
b)
Jeżeli istnieje znaczne prawdopodobieństwo, że normy ochrony określone w Załączniku są naruszane, lub jeżeli istnieją zasadne podstawy przypuszczenia, że CBSA nie podejmuje, ani nie podejmie odpowiednich kroków w odpowiednim czasie, by załatwić sporną kwestię, lub też jeżeli kontynuacja przekazu stworzyłoby bezpośrednie zagrożenie poważną szkodą dla osób, których dane są przekazywane, a kompetentne władze w państwach członkowskich usiłowały już w sposób zasadny do okoliczności powiadomić o tym CBSA, z zapewnieniem możliwości reakcji z jej strony.
2. Zawieszenie ustanie, jak tylko normy ochrony będą zapewnione i kompetentne władze państw członkowskich zostaną o tym powiadomione.
Artykuł 4
1. Państwa członkowskie bezzwłocznie powiadomią Komisję o przyjęciu środków zgodnie z art. 3.
2. Państwa członkowskie i Komisja będą się wzajemnie powiadamiać o jakichkolwiek zmianach w normach ochrony oraz o przypadkach, w których działanie organów odpowiedzialnych za zapewnienie przez CBSA zgodności z normami ochrony według zasad określonych w Załączniku przestaje zapewniać taką zgodność.
3. Jeżeli informacje zebrane zgodnie z art. 3 oraz zgodnie z ust. 1 i 2 niniejszego artykułu dowodzą, że podstawowe zasady potrzebne dla zapewnienia osobom fizycznym odpowiedniego poziomu ochrony nie są już zachowane, lub że nieskutecznym w pełnieniu swojej funkcji stał się jakikolwiek organ odpowiedzialny za zapewnienie, że CBSA w swoich działaniach postępuje zgodnie z normami ochrony, CBSA zostanie o tym powiadomiona i w razie potrzeby zastosowana zostanie procedura, o której mowa w art. 31 ust. 2 dyrektywy 95/46/WE, z uwzględnieniem możliwości uchylenia lub zawieszenia niniejszej Decyzji.
Artykuł 5
Działanie niniejszej Decyzji będzie monitorowane, a jakiekolwiek stosowne wnioski zostaną przekazane Komisji utworzonej na mocy art. 31 dyrektywy 95/46/WE, łącznie z jakimkolwiek dowodem, który mógłby mieć wpływ na stwierdzenie w art. 1 niniejszej Decyzji, że ochrona danych osobowych, zawartych w PNR pasażerów lotniczych przekazanych do CBSA, jest odpowiednia w znaczeniu art. 25 dyrektywy 95/46/WE.
Artykuł 6
Państwa członkowskie podejmą wszelkie środki potrzebne by zastosować się do Decyzji w ciągu czterech miesięcy od daty podania jej do wiadomości.
Artykuł 7
Niniejsza Decyzja traci moc w trzy lata i sześć miesięcy od daty podania jej do wiadomości, chyba że zostanie przedłużona zgodnie z procedurą określoną w art. 31 ust. 2 dyrektywy 95/46/WE.
Artykuł 8
Niniejsza Decyzja skierowana jest do państw członkowskich.
Sporządzono w Brukseli, dnia 6 września 2005 r.