DECYZJA KOMISJI
z dnia 14 maja 2004 r.
w sprawie odpowiedniej ochrony danych osobowych zawartych w Passenger Name Record (PNR) pasażerów lotniczych przekazywanych do Biura Celnego i Ochrony Granic Stanów Zjednoczonych
(notyfikowana jako dokument nr K(2004) 1914)
(Tekst mający znaczenie dla EOG)
(2004/535/WE)
KOMISJA WSPÓLNOT EUROPEJSKICH,
uwzględniając Traktat ustanawiający Wspólnotę Europejską,
uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (1), w szczególności jej art. 25 ust. 6,
a także mając na uwadze, co następuje:
(1)
Na mocy dyrektywy 95/46/WE Państwa Członkowskie są zobowiązane zapewnić, że przekazywanie danych osobowych do państwa trzeciego może odbywać się tylko wtedy, jeżeli dane państwo trzecie zapewnia odpowiedni poziom ochrony oraz jeżeli ustawodawstwo Państw Członkowskich wprowadzające w życie inne przepisy dyrektywy jest przestrzegane przed przekazaniem danych.
(2)
Komisja może stwierdzić, że państwo trzecie zapewnia odpowiedni poziom ochrony. W takim przypadku dane osobowe można przekazywać z Państw Członkowskich bez konieczności zapewniania dodatkowych gwarancji.
(3)
Na mocy dyrektywy 95/46/WE poziom ochrony danych należy oceniać w świetle wszystkich okoliczności dotyczących operacji przekazania danych lub zbioru takich operacji, zwracając szczególną uwagę na określoną liczbę elementów dotyczących przekazania i określonych w art. 25 ust. 2 wyżej wymienionej dyrektywy.
(4)
W ramach transportu lotniczego, PNR - „Zbiór informacji dotyczących podróży danego pasażera” [PNR - Passenger Name Record] jest zbiorem wymogów podróży każdego pasażera, zawierającym wszystkie niezbędne informacje umożliwiające przetwarzanie i kontrolowanie rezerwacji przez macierzyste i uczestniczące linie lotnicze. Dla celów niniejszej decyzji terminy „pasażer” i „pasażerowie” obejmują członków załogi. „Macierzysta linia lotnicza” oznacza linię lotniczą, w której pasażer dokonał pierwszej rezerwacji lub dodatkowej rezerwacji już po rozpoczęciu podróży. „Uczestnicząca linia lotnicza” oznacza linię lotniczą, do której rezerwująca linia lotnicza zwróciła się z prośbą o udostępnienie miejsca dla pasażera w trakcie jednego lub więcej lotów.
(5)
Biuro Celne i Ochrony Granic Stanów Zjednoczonych [the United States Bureau of Customs and Border Protection - CBP] Ministerstwa Bezpieczeństwa Wewnętrznego [Department of Homeland Security - DHS] wymaga od każdego przewoźnika obsługującego loty pasażerskie w zagranicznym ruchu powietrznym do lub ze Stanów Zjednoczonych zapewnienia elektronicznego dostępu do PNR w takim zakresie, w jakim PNR jest zebrany i zawarty w automatycznym systemie rezerwacji przewoźników lotniczych.
(6)
Wymagania przekazywania danych osobowych zawartych w PNR pasażerów lotniczych do CBP oparte są na ustawie uchwalonej przez Stany Zjednoczone w listopadzie 2001 r. (2) oraz na przepisach wykonawczych przyjętych przez CBP na mocy wymienionej ustawy (3).
(7)
Prawodawstwo Stanów Zjednoczonych, o którym mowa powyżej, dotyczy wzmocnienia bezpieczeństwa oraz warunków wjazdu do Stanów Zjednoczonych i wyjazdu z tego kraju - kwestie, podlegające suwerennej władzy Stanów Zjednoczonych w ramach ich jurysdykcji. Ponadto ustanowione wymogi nie są niezgodne z międzynarodowymi zobowiązaniami podjętymi przez Stany Zjednoczone. Stany Zjednoczone są krajem demokratycznym, opierającym się na zasadzie państwa prawnego oraz posiadającym silne tradycje swobód obywatelskich. Zasadność procesu stanowienia prawa oraz siła i niezależność wymiaru sprawiedliwości nie są kwestionowane. Wolność prasy stanowi kolejną silna gwarancję przeciwko naruszeniu swobód obywatelskich.
(8)
Wspólnota zobowiązuje się w pełni wspierać Stany Zjednoczone w walce z terroryzmem w granicach wyznaczonych prawem wspólnotowym. Prawo wspólnotowe przewiduje ustanowienie równowagi między wymogami bezpieczeństwa a ochroną prywatności. Na przykład, art. 13 dyrektywy 95/46/WE stanowi, że Państwa Członkowskie mogą przyjąć środki ustawodawcze w celu ograniczenia zakresu niektórych wymogów tej dyrektywy, kiedy ograniczenie takie stanowi środek konieczny dla zabezpieczenia bezpieczeństwa narodowego, obronności, bezpieczeństwa publicznego oraz zapobiegania, dochodzenia, wykrywania i ścigania przestępstw.
(9)
Przekazywanie danych, o którym mowa, dotyczy konkretnych służb kontrolnych, mianowicie linii lotniczych obsługujących przeloty między Wspólnotą a Stanami Zjednoczonymi, oraz tylko jednego odbiorcy w Stanach Zjednoczonych, mianowicie CBP.
(10)
Jakiekolwiek ustalenie mające na celu zapewnienie ram prawnych dla przekazywania PNR do Stanów Zjednoczonych, w szczególności na podstawie niniejszej decyzji, powinno być ograniczone w czasie. Uzgodniono okres trzech i pół roku. W tym czasie okoliczności mogą ulec znaczącym zmianom i Wspólnota razem ze Stanami Zjednoczonymi uzgodnią, że niezbędny wówczas będzie przegląd ustaleń.
(11)
Przetwarzanie przez CBP przekazywanych mu danych osobowych zawartych w PNR pasażerów lotniczych regulują warunki określone w Zobowiązaniach Ministerstwa Bezpieczeństwa Wewnętrznego Biura Celnego i Ochrony Granic (Undertakings of the Department of Homeland Security Bureau of Customs and Border Protection) (CBP) z dnia 11 maja 2004 r. (zwanych dalej „Zobowiązaniami”) oraz prawodawstwo Stanów Zjednoczonych w zakresie przewidzianym w Zobowiązaniach.
(12)
Jeżeli chodzi o prawodawstwo Stanów Zjednoczonych, Ustawa o Wolności Informacji [Freedom of Information Act - FOIA] ma zastosowanie w obecnej sytuacji, w zakresie w jakim reguluje warunki, na których CBP może sprzeciwiać się żądaniom o ujawnienie informacji i tym samym utrzymać PNR poufnym. Ustawa reguluje ponadto ujawnianie informacji zawartych w PNR osobom, których one dotyczą, ściśle związanych z prawem dostępu do danych, którym osoby te dysponują. FOIA stosuje się bez rozróżnienia w stosunku do obywateli Stanów Zjednoczonych i obywateli spoza Stanów Zjednoczonych.
(13)
W odniesieniu do Zobowiązań oraz zgodnie z tym, co przewiduje ich ust. 44, stwierdzenia zawarte w Zobowiązaniach będą lub już zostały włączone do ustaw, regulacji, wytycznych lub innych instrumentów polityki Stanów Zjednoczonych i posiadają zróżnicowany stopień skutków prawnych. Zobowiązania zostaną w całości opublikowane w Rejestrze Federalnym (Federal Register) na odpowiedzialność Ministerstwa Bezpieczeństwa Wewnętrznego (DHS). Jako takie, Zobowiązania stanowią poważne i przemyślane zobowiązanie polityczne ze strony DHS, a ich przestrzeganie będzie przedmiotem wspólnej kontroli dokonywanej przez Stany Zjednoczone oraz Wspólnotę. Brak zgodności, w danym przypadku, można zakwestionować drogą prawną, administracyjną i polityczną oraz, jeżeli się utrzymuje, może prowadzić do zawieszenia skutków niniejszej decyzji.
(14)
Normy, zgodnie z którymi CBP będzie przetwarzać zawarte w PNR dane osobowe pasażerów, na podstawie prawodawstwa Stanów Zjednoczonych oraz Zobowiązań, uwzględniają podstawowe zasady niezbędne dla zapewnienia odpowiedniego poziomu ochrony osób fizycznych.
(15)
Jeżeli chodzi o zasadę ograniczenia dla określonego celu, dane osobowe pasażerów lotniczych zawarte w PNR przekazywane do CBP będą przetwarzane w określonym celu, a następnie wykorzystane lub przekazane dalej, tylko jeżeli nie jest to niezgodne z celem przekazania danych. W szczególności dane zawarte w PNR będą wykorzystane wyłącznie do celów zapobiegania i zwalczania terroryzmu oraz związanych z nim przestępstw, innych poważnych przestępstw włącznie z przestępczością zorganizowaną, która z zasady ma charakter transnarodowy, oraz unikania kary aresztu lub więzienia za powyższe przestępstwa.
(16)
Jeżeli chodzi o zasadę jakości danych i proporcjonalności, którą należy uwzględniać w związku z zasadniczą podstawą interesu publicznego uzasadniającą przekazywanie danych zawartych w PNR, dane przekazane CBP nie będą następnie zmieniane przez CBP. Maksymalnie 34 kategorie danych zawartych w PNR będą przekazywane, a dodanie jakiejkolwiek nowej kategorii będzie wcześniej uzgadniane przez władze Stanów Zjednoczonych z Komisją. Dodatkowe informacje osobowe postrzegane jako bezpośredni wynik danych zawartych w PNR będą uzyskiwane ze źródeł pozarządowych wyłącznie drogą prawną. Jako zasada ogólna, PNR będzie usuwany maksymalnie po okresie 3 lat i 6 miesięcy, z wyjątkiem danych udostępnionych na potrzeby szczególnych dochodzeń lub inaczej udostępnionych w trybie ręcznym.
(17)
Jeżeli chodzi o zasadę przejrzystości, CBP będzie udzielać podróżującym informacji na temat celu przekazywania i przetwarzania danych oraz tożsamości osoby dokonującej kontroli danych w kraju trzecim, oraz wszelkich innych informacji.
(18)
Jeżeli chodzi o zasadę bezpieczeństwa, CBP podejmuje techniczne i organizacyjne środki bezpieczeństwa na poziomie odpowiadającym ryzyku związanym z przetwarzaniem.
(19)
Prawo dostępu do danych i sprostowania uznaje się w granicach, w których dana osoba może zażądać kopii danych jej dotyczących zawartych w PNR oraz sprostowania błędnych danych. Przewidziane wyjątki są w dużej mierze porównywalne z ograniczeniami, które Państwa Członkowskie mogą nałożyć na mocy art. 13 dyrektywy 95/46/WE.
(20)
Dalsze przekazywanie danych dokonywane będzie, na zasadzie jednostkowych przypadków, do innych agencji rządowych, włącznie z zagranicznymi agencjami rządowymi odpowiedzialnymi za walkę z terroryzmem lub ściganie przestępstw, w celach odpowiadających tym ustanowionym w stwierdzeniu ograniczenia dla określonego celu. Przekazania danych będzie można także dokonać do celów ochrony podstawowych interesów osoby, której dane dotyczą lub innych osób, w szczególności w zakresie istotnego zagrożenia dla zdrowia, lub w ramach postępowań karnych oraz w innych przypadkach określonych przez prawo. Agencje otrzymujące informacje są zobowiązane, na mocy wyraźnie określonych warunków ujawniania, do wykorzystania danych wyłącznie do przewidzianych celów i nie mogą przekazać dalej tych danych bez zgody CBP. Żadna inna zagraniczna, federalna, stanowa czy lokalna agencja nie ma bezpośredniego dostępu elektronicznego do danych zawartych w PNR poprzez bazy danych CBP. CBP odmówi publicznego ujawnienia PNR na mocy wyłączeń przewidzianych przez właściwe przepisy FOIA.
(21)
CBP nie wykorzystuje danych szczególnie chronionych, jak określono w art. 8 dyrektywy 95/46/WE, a w oczekiwaniu na wprowadzenie systemu filtrów wyłączających takie dane z PNR przekazywanego do Stanów Zjednoczonych, CBP zobowiązuje się do wprowadzenia środków kasujących je oraz do niewykorzystywania ich w międzyczasie.
(22)
Jeżeli chodzi o mechanizmy mające na celu zapewnienie przestrzegania przez CBP wymienionych zasad, przewiduje się system szkolenia i informowania personelu CBP oraz sankcji dla poszczególnych pracowników. Główny Urzędnik ds. Prywatności (Chief Privacy Officer) w DHS, który jest urzędnikiem DHS, ale posiada jednocześnie szeroki zakres niezależności organizacyjnej i składa roczne sprawozdanie Kongresowi, odpowiedzialny jest za przestrzeganie przez CBP prywatności. Osoby, których dane zawarte w PNR zostały przekazane, mogą składać skargi do CBP, lub jeżeli kwestia pozostaje nierozstrzygnięta, do Głównego Urzędnika ds. Prywatności w DHS, bezpośrednio lub za pośrednictwem organów ochrony danych osobowych w Państwach Członkowskich. Urząd ds. Prywatności (Privacy Office) w DHS będzie rozpatrywać w trybie przyśpieszonym skargi przekazane przez organy ochrony danych osobowych w Państwach Członkowskich w imieniu osób zamieszkujących we Wspólnocie, jeżeli osoba ta twierdzi, że jej skarga nie została rozpatrzona w zadowalający sposób przez CBP lub Urząd ds. Prywatności w DHS. Przestrzeganie Zobowiązań będzie przedmiotem wspólnego rocznego przeglądu, dokonywanego przez CBP, w powiązaniu z DHS i grupą kierowaną przez Komisję.
(23)
W interesie przejrzystości i w celu zagwarantowania właściwym władzom w Państwach Członkowskich możliwości zapewnienia ochrony osób fizycznych odnośnie przetwarzania ich danych osobowych, należy wyszczególnić wyjątkowe okoliczności, w których zawieszenie przepływów danych może być usprawiedliwione, bez względu na to czy stwierdzono ich odpowiednią ochronę.
(24)
Grupa robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych, powołana na mocy art. 29 dyrektywy 95/46/WE, wydała opinie w sprawie poziomu ochrony zapewnianego przez władze Stanów Zjednoczonych danym osobowym pasażerów, którymi Komisja kierowała się w trakcie negocjacji z DHS. Komisja wzięła pod uwagę wymienione opinie w trakcie przygotowywania niniejszej decyzji (4).
(25)
Środki przewidziane w niniejszej decyzji są zgodne z opinią Komitetu utworzonego na mocy art. 31 ust. 1 dyrektywy 95/46/WE,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
Artykuł 1
Dla celów art. 25 ust. 2 dyrektywy 95/46/WE Biuro Celne i Ochrony Granic Stanów Zjednoczonych (dalej zwane jako CBP) traktowane jest jako zapewniające odpowiedni poziom ochrony danych zawartych w PNR przekazywanych ze Wspólnoty na temat lotów do lub ze Stanów Zjednoczonych, zgodnie ze Zobowiązaniami określonymi w Załączniku.
Artykuł 2
Niniejsza decyzja dotyczy odpowiedniego poziomu ochrony zapewnianego przez CBP z punktu widzenia spełniania wymogów art. 25 ust. 1 dyrektywy 95/46/WE i nie wpływa na pozostałe warunki lub ograniczenia wprowadzające w życie pozostałe przepisy wymienionej dyrektywy, które mają zastosowanie do przetwarzania danych osobowych w Państwach Członkowskich.
Artykuł 3
1. Bez uszczerbku dla uprawnień umożliwiających podjęcie działań w celu zagwarantowania przestrzegania przepisów krajowych przyjętych zgodnie z przepisami innymi niż zawarte w art. 25 dyrektywy 95/46/WE, właściwe władze Państw Członkowskich mogą wykonywać obecne uprawnienia w celu zawieszenia przepływu danych do CBP w celu ochrony osób fizycznych odnośnie do przetwarzania ich danych osobowych w jednym z poniższych przypadków:
a)
gdy właściwy organ Stanów Zjednoczonych ustalił, że CBP narusza obowiązujące normy ochrony; lub
b)
gdy istnieje wysokie prawdopodobieństwo, że normy ochrony określone w Załączniku są naruszane; gdy istnieją uzasadnione podstawy, aby domniemywać, iż CBP nie podejmuje, lub nie podejmie, odpowiednich i natychmiastowych kroków zmierzających do rozstrzygnięcia sprawy; gdy dalsze przekazywanie danych spowodowałoby realne niebezpieczeństwo wyrządzenia szkody osobom, których dotyczą dane osobowe, a właściwe organy w Państwie Członkowskim podjęły, odpowiednie w tych okolicznościach, wysiłki w celu dostarczenia CBP powiadomienia o powyższym oraz umożliwienia mu udzielenia odpowiedzi.
2. Zawieszenie ustaje, gdy tylko zapewnione zostaną normy ochrony, a właściwe organy danych Państw Członkowskich zostaną o tym powiadomione.
Artykuł 4
1. Państwa Członkowskie niezwłocznie informują Komisję środkach przyjętych na mocy art. 3.
2. Państwa Członkowskie i Komisja informują się wzajemnie o każdej zmianie w normach ochrony oraz o przypadkach, w których działanie organów odpowiedzialnych za przestrzeganie przez CBP norm ochrony ustanowionych w Załączniku nie wystarcza do zapewnienia przestrzegania tych norm.
3. Jeżeli informacje zebrane zgodnie z art. 3 oraz zgodnie z ust. 1 i 2 niniejszego artykułu wykazują, że podstawowe zasady niezbędne do zapewnienia odpowiedniego poziomu ochrony osób fizycznych nie są już przestrzegane lub że jakikolwiek organ odpowiedzialny za przestrzeganie przez CBP norm ochrony ustanowionych w Załączniku nie spełnia swojej roli, CBP jest o tym informowane i, w razie potrzeby, stosuje się procedurę określoną w art. 31 ust. 2 dyrektywy 95/46/WE w celu uchylenia lub zawieszenia niniejszej decyzji.
Artykuł 5
Realizacja niniejszej decyzji zostanie oceniona, a wszelkie istotne informacje zostaną przekazane Komitetowi powołanemu na mocy art. 31 dyrektywy 95/46/WE, włącznie z dowodami, które mogłyby mieć wpływ na ocenę, dokonaną na mocy art. 1 niniejszej decyzji, odpowiedniego poziomu ochrony danych osobowych zawartych w PNR pasażerów lotniczych przekazywanych do CBP w rozumieniu art. 25 dyrektywy 95/46/WE.
Artykuł 6
Państwa Członkowskie podejmują wszelkie środki niezbędne w celu dostosowania się do niniejszej decyzji w terminie czterech miesięcy od dnia jej notyfikacji.
Artykuł 7
Niniejsza decyzja wygasa trzy lata i sześć miesięcy od dnia jej notyfikacji, chyba że zostanie przedłużona zgodnie z procedurą określoną w art. 31 ust. 2 dyrektywy 95/46/WE.
Artykuł 8
Niniejsza decyzja skierowana jest do Państw Członkowskich.
Sporządzono w Brukseli, dnia 14 maja 2004 r.