KOMISIJOS SPRENDIMAS
2004 m. gegužės 14 d.
dėl Jungtinių Amerikos Valstijų Muitinės ir pasienio apsaugos tarnybai perduodamų oro keleivių asmens duomenų, nurodytų Keleivio duomenų įraše (Passenger Name Record), tinkamos apsaugos
(pranešta dokumentu Nr. K(2004)1914)
(Tekstas svarbus EEE)
(2004/535/EB)
EUROPOS BENDRIJŲ KOMISIJA,
atsižvelgdama į Europos bendrijos steigimo sutartį,
atsižvelgdama į 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvą 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (1), ypač į jos 25 straipsnio 6 dalį,
kadangi:
(1)
Remiantis Direktyva 95/46/EB valstybės narės numato, kad asmens duomenys trečiajai šaliai gali būti perduoti tik tuo atveju, jei pastaroji užtikrina tinkamą apsaugos lygį ir jei iki perdavimo laikomasi kitų direktyvos nuostatas įgyvendinančių valstybių narių įstatymų.
(2)
Komisija gali nuspręsti, kad trečioji šalis užtikrina tinkamą apsaugos lygį. Tokiu atveju asmens duomenys gali būti perduodami iš valstybių narių nereikalaujant papildomų garantijų.
(3)
Remiantis Direktyva 95/46/EB, duomenų apsaugos lygio tinkamumas turėtų būti įvertinamas atsižvelgiant į duomenų perdavimo operacijos ar operacijų grupės aplinkybes, ypatingą dėmesį skiriant keletui duomenų perdavimui svarbių ir 25 straipsnio 2 dalyje išvardytų elementų.
(4)
Oro transporto sistemoje „Keleivio duomenų įrašas“ („Passenger Name Record“, toliau - PNR) - tai kiekvieno keleivio kelionės sąlygų įrašas, kuriame pateikiama visa reikalinga informacija, kad vietas užsakančiosios ir dalyvaujančiosios oro linijos galėtų tvarkyti ir kontroliuoti užsakymus. Šiame sprendime „keleivio“ ir „keleivių“ sąvokos apima įgulos narius. „Vietas užsakančiosios oro linijos“ yra oro linijos, kuriose keleivis atliko pirmąjį užsakymą, arba kuriose po įvykusios kelionės buvo atlikti papildomi užsakymai. „Dalyvaujančios oro linijos“ yra bet kurios oro linijos, kuriose vietas užsakančiosios oro linijos keleiviui užsakė vietas viename arba daugiau nei viename jos skrydžių.
(5)
Jungtinių Amerikos Valstijų Krašto saugumo departamento (Department of Homeland Security, toliau - DHS) Muitinės ir pasienio apsaugos tarnyba (United States Bureau of Customs and Border Protection, toliau - CBP) reikalauja, kad kiekvienas tarptautinius keleivių pervežimus oro transportu į Jungtines Amerikos Valstijas arba iš jų vykdantis vežėjas suteiktų jai elektroninę prieigą prie vežėjo oro transportu surinktų ir jo kompiuterinėje užsakymų sistemoje laikomų PNR.
(6)
Reikalavimai oro keleivių asmens duomenims, nurodytiems PNR ir perduotiniems CBP, yra grindžiami Jungtinėse Amerikos Valstijose 2001 m. lapkričio mėn. (2) priimtu įstatymu ir remiantis minėtu įstatymu CBP priimtomis įgyvendinimo taisyklėmis (3).
(7)
Minėtieji Jungtinių Amerikos Valstijų teisės aktai apibrėžia saugumo stiprinimo bei atvykimo į šalį ir išvykimo iš jos reikalavimus, kuriuos Jungtinės Amerikos Valstijos turi suverenią galią nustatyti savo jurisdikcijos ribose. Be to, nustatyti reikalavimai yra suderinti su Jungtinių Amerikos Valstijų prisiimtais tarptautiniais įsipareigojimais. Jungtinės Amerikos Valstijos yra demokratinė šalis, kurioje viešpatauja įstatymų viršenybė ir stipri pilietinių laisvių tradicija. Jos teisėkūros proceso teisėtumu bei jos teismų stiprumu ir nepriklausomumu neabejojama. Spaudos laisvė yra dar viena stipri garantija, kad nebus piktnaudžiaujama pilietinėmis laisvėmis.
(8)
Bendrijos teisės nustatytose ribose Bendrija visada įsipareigoja remti Jungtines Amerikos Valstijas kovoje su terorizmu. Bendrijos teisėje numatoma būtinybė išlaikyti saugumo ir privatumo interesų pusiausvyrą. Pavyzdžiui, Direktyvos 95/46/EB 13 straipsnis numato, kad valstybės narės gali priimti teisines priemones, apribojančias tam tikrų šios direktyvos reikalavimų taikymo sritį, kai tai reikalinga dėl nacionalinio saugumo, gynybos, visuomenės saugumo ir nusikaltimų prevencijos, tyrimo, išaiškinimo ir baudžiamojo persekiojimo.
(9)
Duomenų perdavime dalyvauja konkretūs duomenų valdytojai: skrydžius tarp Bendrijos ir Jungtinių Amerikos Valstijų vykdančios oro linijos ir tik vienintelis jų gavėjas Jungtinėse Amerikos Valstijose - CBP.
(10)
Turi būti apibrėžtas laikotarpis, kurį taikomos priemonės dėl PNR perdavimo Jungtinėms Amerikos Valstijoms teisinio pagrindo, ypač remiantis šiuo sprendimu. Buvo susitarta dėl trejų su puse metų laikotarpio. Per šį laikotarpį aplinkybės gali labai pasikeisti, todėl Bendrija ir Jungtinės Amerikos Valstijos susitaria, kad priemones reikės peržiūrėti.
(11)
CBP gautų oro keleivių asmens duomenų, nurodytų PNR, tvarkymą reglamentuoja 2004 m. gegužės 11 d. Jungtinių Amerikos Valstijų Krašto saugumo departamento Muitinės ir pasienio apsaugos tarnybos (Department of Homeland Security Bureau of Customs and Border Protection of 11 May 2004, CBP) įsipareigojimuose (toliau - Įsipareigojimai) ir Įsipareigojimuose nurodytuose Jungtinių Amerikos Valstijų vidaus teisės aktuose nustatyti reikalavimai.
(12)
Iš visų Jungtinių Amerikos Valstijų vidaus teisės aktų šiuo atveju svarbus yra Informacijos laisvės aktas (Freedom of Information Act, toliau - FOIA), nes jis numato sąlygas, kurioms esant CBP gali atmesti prašymus dėl informacijos atskleidimo, ir taip išlaikyti PNR paslaptyje. Aktas reglamentuoja PNR atskleidimą tiems asmenims, kuriems jis skirtas, ir yra glaudžiai susijęs su duomenų subjekto teise į prieigą. Jis taikomas tiek Jungtinių Amerikos Valstijų pilietybę turintiems, tiek jos neturintiems asmenims.
(13)
Kaip nurodyta Įsipareigojimų 44 dalyje, jų nuostatos bus arba jau yra įtrauktos į įstatymus, taisykles, direktyvas arba kitas Jungtinių Amerikos Valstijų politikos priemones, ir dėl to jų teisinė galia skiriasi. Visas Įsipareigojimų tekstas skelbiamas DHS tvarkomame Federaliniame registre. Todėl tai yra rimti ir gerai apgalvoti politiniai DHS įsipareigojimai, o ar jų laikomasi, nustatoma per Jungtinių Amerikos Valstijų ir Bendrijos bendrą peržiūrą. Jų nesilaikymas prireikus galėtų būti apskųstas teisiniais, administraciniais ir politiniais būdais, o jei pažeidimai tęstųsi, šio sprendimo galiojimas galėtų būti laikinai sustabdomas.
(14)
Standartai, kuriais remiantis CBP tvarko keleivių PNR duomenis pagal Jungtinių Amerikos Valstijų teisės aktus ir Įsipareigojimus, numato pagrindinius principus, kurių reikia užtikrinant tinkamą fizinių asmenų apsaugos lygį.
(15)
Laikantis tikslo ribojimo principo, CBP gaunami oro keleivių asmens duomenys, nurodyti PNR, tvarkomi atsižvelgiant į konkretų tikslą, o tada panaudojami arba toliau perduodami tiktai tuo atveju, kai tai suderinama su perdavimo tikslu. PNR duomenys bus iš esmės naudojami tik užkertant kelią terorizmui ir susijusiems nusikaltimams, kitiems tarpvalstybinio pobūdžio sunkiems nusikaltimams, įskaitant organizuotą nusikalstamumą, slėpimuisi nuo arešto ar įkalinimo už minėtus nusikaltimus bei su jais kovojant.
(16)
Laikydamasi duomenų kokybės ir proporcingumo principo dėl svarbių viešųjų interesų, kuriuos užtikrinant perduodami PNR duomenys, CBP vėliau nekeis gautų PNR duomenų. Perduodamos ne daugiau kaip 34 PNR duomenų kategorijos, o Jungtinių Amerikos Valstijų institucijos konsultuojasi su Komisija prieš nustatydamos naujus reikalavimus. Papildoma informacija apie asmenį, kuri tiesiogiai gaunama patikrinus PNR duomenis bus gaunama tik teisėtais būdais iš kitų nei valdžios institucijos šaltinių. Paprastai PNR ištrinami ne vėliau kaip po trejų metų ir šešių mėnesių, išskyrus duomenis, kurie buvo gauti konkretiems tyrimams arba kitaip rankiniu būdu surinkti;
(17)
Laikydamasi skaidrumo principo, CBP teikia informaciją keleiviams apie perdavimo ir tvarkymo tikslą bei apie trečiosios šalies duomenų valdytojo tapatybę, taip pat ir kitą informaciją.
(18)
Laikydamasi saugumo principo, CBP imasi techninių ir organizacinių saugumo priemonių, atsižvelgdama į tvarkymo sukeliamą pavojų.
(19)
Prieigos ir ištaisymo teisės pripažįstamos tik tada, kai duomenų subjektas prašo PNR duomenų kopijos ir ištaisyti netikslius duomenis. Numatomos išimtys yra plačiai suderintos su apribojimais, kuriuos valstybės narės gali taikyti pagal Direktyvos 95/46/EB 13 straipsnį.
(20)
Duomenys toliau perduodami kitoms vyriausybės institucijoms, taip pat ir užsienio vyriausybių institucijoms, vykdančioms kovos su terorizmu arba teisėsaugos funkcijas, kiekvienu atveju tais tikslais, kurie nustatyti tikslus apribojančiuose nuostatuose. Taip pat duomenys gali būti perduodami siekiant apsaugoti duomenų subjekto ar kitų asmenų gyvybiškai svarbius interesus, ypač iškilus dideliam pavojui sveikatai arba vykstant bet kokiam teisminiam baudžiamajam procesui, arba dėl kitų įstatymu nustatytų priežasčių. Gaunančiosios tarnybos pagal tiksliai apibrėžtas atskleidimo sąlygas privalo naudoti duomenis tik tiems tikslams ir negali perduoti duomenų toliau be CBP sutikimo. Jokia kita užsienio, federalinė, valstijos ar vietos tarnyba neturi tiesioginės elektroninės prieigos prie PNR duomenų per CBP duomenų bazes. CBP atsisako viešai atskleisti PNR remdamasi atitinkamų FOIA nuostatų išimtimis.
(21)
CBP nenaudoja Direktyvos 95/46/EB 8 straipsnyje nurodytų ypatingų duomenų, ir kol nėra filtrų sistemos, neleidžiančios panaikinti tokius duomenis iš Jungtinėms Amerikos Valstijoms perduodamų PNR, įsipareigoja įdiegti priemones, kurios juos ištrintų ir tuo metu jais nesinaudoja.
(22)
Kalbant apie įgyvendinimo mechanizmus, užtikrinančius, kad CBP laikysis šių principų, numatoma CBP darbuotojus mokyti ir informuoti, o atskiriems darbuotojams taikyti sankcijas. DHS vyriausiasis privatumo reikalų pareigūnas (DHS Chief Privacy Officer), kuris yra DHS pareigūnas, bet turi labai didelį organizacinį savarankiškumą ir privalo kasmet teikti ataskaitą Kongresui, prižiūri kaip CBP laikosi privatumo reikalavimų. Asmenys, kurių PNR duomenys buvo perduoti, gali teikti skundus CBP arba, jeigu skundai nepatenkinami, DHS vyriausiajam privatumo reikalų pareigūnui tiesiogiai arba tarpininkaujant valstybių narių duomenų apsaugos institucijoms. DHS Privatumo reikalų biuras (DHS Privacy Office) skubos tvarka nagrinėja Bendrijos gyventojų vardu valstybių narių duomenų apsaugos institucijų pateiktus skundus, jeigu gyventojas mano, kad jo skundą CBP arba DHS Privatumo reikalų biuras išnagrinėjo netinkamai. CBP kartu su DHS ir Komisijos vadovaujama grupe kasmet vykdo bendrą peržiūrą, kurios metu tikrina, kaip laikomasi Įsipareigojimų.
(23)
Siekiant skaidrumo ir norint apsaugoti valstybių narių kompetentingų institucijų galimybes užtikrinti asmenų apsaugą, kai tvarkomi pastarųjų asmens duomenys, svarbu tiksliai apibrėžti išimtines aplinkybes, kuriomis gali būti pagrįstas konkrečių duomenų srauto laikinas sustabdymas, nepažeidžiant tinkamos apsaugos.
(24)
Pagal Direktyvos 95/46/EB 29 straipsnį įsteigta Darbo grupė asmenų apsaugai tvarkant asmens duomenis pateikė nuomones apie Jungtinių Amerikos Valstijų institucijų teikiamą keleivių duomenų apsaugos lygį, kurios tapo Komisijos gairėmis derybose su DHS. Komisija atsižvelgė į šias nuomones rengdama šį sprendimą (4).
(25)
Šiame sprendime numatytos priemonės atitinka Direktyvos 95/46/EB 31 straipsnio 1 dalimi įkurto Komiteto nuomonę,
PRIĖMĖ ŠĮ SPRENDIMĄ:
1 straipsnis
Pagal Direktyvos 95/46/EB 25 straipsnio 2 dalį Jungtinių Amerikos Valstijų Muitinės ir pasienio apsaugos tarnyba (United States’ Bureau of Customs and Border Protection, toliau - CBP) yra laikoma institucija, užtikrinančia tinkamą iš Bendrijos gaunamų PNR duomenų dėl skrydžių į Jungtines Amerikos Valstijas ir iš jų apsaugos lygį pagal priede nustatytus Įsipareigojimus.
2 straipsnis
Šis sprendimas yra susijęs su CBP teikiamos apsaugos tinkamumu, atsižvelgiant į Direktyvos 95/46/EB 25 straipsnio 1 dalies reikalavimus, ir neturi įtakos kitoms sąlygoms arba apribojimams, įgyvendinant kitas tos direktyvos, kuri siejasi su asmens duomenų tvarkymu valstybėse narėse, nuostatas.
3 straipsnis
1. Nepažeisdamos savo galių imtis veiksmų, užtikrinančių nacionalinių nuostatų, priimtų pagal kitų nei Direktyvos 95/46/EB 25 straipsnio nuostatas, laikymąsi, valstybių narių kompetentingos institucijos gali pasinaudoti savo turimomis galiomis ir laikinai sustabdyti duomenų srautus į CBP, kad apsaugotų asmenis, kai tvarkomi jų asmens duomenys šiais atvejais:
a)
jeigu kompetentinga Jungtinių Amerikos Valstijų institucija nustatė, kad CBP pažeidė taikomus apsaugos standartus, arba
b)
jeigu yra reali tikimybė, kad pažeidinėjami priede nustatyti apsaugos standartai, yra pagrįstų priežasčių manyti, kad CBP nesiima arba nesiims tinkamų ir savalaikių priemonių konkrečiam atvejui išspręsti, tolesnis perdavimas sukels tiesioginį didelės žalos duomenų subjektams pavojų, ir tomis aplinkybėmis valstybių narių kompetentingos institucijos dėjo tinkamas pastangas, pateikdamos CBP pranešimą ir suteikdamos galimybę atsakyti į jį.
2. Laikinas sustabdymas galios tol, kol bus užtikrinti apsaugos standartai, ir apie tai bus pranešta atitinkamų valstybių narių kompetentingoms institucijoms.
4 straipsnis
1. Valstybės narės nedelsdamos praneša Komisijai, kada buvo priimtos 3 straipsnyje numatytos priemonės.
2. Valstybės narės ir Komisija praneša viena kitai apie bet kokius apsaugos standartų pasikeitimus ir apie atvejus, kuriais institucijų, atsakingų už tai, kad CBP laikytųsi apsaugos standartų, veiksmai, kaip nurodyta priede, neužtikrina tokio laikymosi.
3. Jeigu pagal 3 straipsnį ir pagal šio straipsnio 1 ir 2 dalis surinkta informacija įrodo, kad nebesilaikoma pagrindinių principų, kurie būtini užtikrinant fizinių asmenų tinkamą apsaugos lygį, arba kad institucija, kuri yra atsakinga už tai, kad CBP laikytųsi priede nustatytų apsaugos standartų, neefektyviai atliko savo vaidmenį, būtina apie tai pranešti CBP, o prireikus, siekiant šį sprendimą panaikinti arba laikinai sustabdyti jo galiojimą, taikyti Direktyvos 95/46/EB 31 straipsnio 2 dalyje numatytą tvarką.
5 straipsnis
Šio sprendimo veikimas yra prižiūrimas, ir apie bet kokius susijusius duomenis pranešama pagal Direktyvos 95/46/EB 31 straipsnį įsteigtam Komitetui, įskaitant visus patvirtinančius faktus, kurie gali daryti poveikį šio sprendimo 1 straipsnyje nurodytiems duomenims, kad CBP gaunamų oro keleivių asmens duomenų, nurodytų PNR, apsauga atitinka Direktyvos 95/46/EB 25 straipsnio reikalavimus.
6 straipsnis
Per keturis mėnesius nuo pranešimo dienos valstybės narės imasi visų priemonių, kurių reikia užtikrinant sprendimo laikymąsi.
7 straipsnis
Šis sprendimas galioja trejus metus ir šešis mėnesius nuo jo pranešimo dienos, nebent galiojimas pratęsiamas Direktyvos 95/46/EB 31 straipsnio 2 dalyje nustatyta tvarka.
8 straipsnis
Šis sprendimas skirtas valstybėms narėms.
Priimta Briuselyje, 2004 m. gegužės 14 d.