KOMISIJOS SPRENDIMAS
2005 m. rugsėjo 6 d.
dėl adekvačios asmens duomenų, įtrauktų į oro keleivių keleivio duomenų įrašą, perduotą Kanados sienos paslaugų agentūrai, apsaugos
(pranešta dokumentu Nr. C(2005) 3248)
(Tekstas svarbus EEE)
(2006/253/EB)
EUROPOS BENDRIJŲ KOMISIJA,
atsižvelgdama į Europos bendrijos steigimo sutartį,
atsižvelgdama į 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvą 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (1), ypač į jos 25 straipsnio 6 dalį,
kadangi:
(1)
Direktyvoje 95/46/EB numatyta, kad valstybės narės privalo perduoti asmens duomenis trečiajai šaliai tik tuo atveju, jei pastaroji užtikrina adekvatų apsaugos lygį, ir jei iki perdavimo laikomasi kitų direktyvos nuostatas įgyvendinančių valstybių narių įstatymų.
(2)
Komisija gali nuspręsti, kad trečioji šalis užtikrina adekvatų apsaugos lygį. Tokiu atveju asmens duomenys gali būti perduodami iš valstybių narių be papildomų garantijų.
(3)
Pagal Direktyvą 95/46/EB apsaugos lygio adekvatumą reikėtų įvertinti atsižvelgiant į duomenų perdavimo operacijos ar operacijų rinkinio aplinkybes; ypatingas dėmesys atkreipiamas į keletą duomenų perdavimui svarbių ir 25 straipsnio 2 dalyje išvardytų elementų.
(4)
Oro transporto sistemoje „keleivio duomenų įrašas“ (PNR) - tai kiekvieno keleivio kelionės sąlygų įrašas, kuriame yra visa reikalinga informacija tam, kad vietas užsakančios ir dalyvaujančios oro linijų bendrovės galėtų tvarkyti ir kontroliuoti rezervacijas (2) Šiame sprendime įgulos nariai taip pat įvardinami terminais „keleivis“ ir „keleiviai“. „Vietas užsakančios oro linijų bendrovės“ yra oro linijų bendrovės, kuriose keleivis atliko pradinę rezervaciją, arba kuriose prasidėjus kelionei buvo atliktos papildomos rezervacijos. „Dalyvaujančios oro linijų bendrovės“ yra bet kuri oro linijų bendrovė, kurioje vietas užsakanti oro linijų bendrovė keleiviui rezervavo vietą viename arba daugiau nei viename jos skrydžių.
(5)
Kanados sienos paslaugų agentūra (CBSA) reikalauja, kad kiekvienas į Kanadą keleivių skrydžius vykdantis vežėjas suteiktų jai elektroninę prieigą prie surinktų ir vežėjo kompiuterinėje rezervavimo ir išvykimo kontrolės sistemoje laikomų PNR.
(6)
(Reikalavimai į oro keleivių PNR įtrauktus asmens duomenis perduoti CBSA yra pagrįsti Muito įstatymo (angl. Customs Act) 107.1 skirsniu ir Imigracijos ir pabėgėlių apsaugos įstatymo (angl. Immigration and Refugee Protection Act) 148 dalies d įtraukai bei pagal tuos įstatus priimtomis įgyvendinimo taisyklėmis (3).
(7)
Nagrinėjamuose Kanados teisės aktuose apibrėžiami saugumo stiprinimo bei asmens atvykimo į šalį ir išvykimo iš jos sąlygų klausimai, dėl kurių Kanada turi aukščiausiąją valdžią priimti sprendimus savo jurisdikcijos ribose. Be to, išdėstyti reikalavimai neprieštarauja jokiems Kanados prisiimtiems tarptautiniams įsipareigojimams. Kanada yra demokratinė šalis ir teisinė valstybė, kurioje yra stipri pilietinių teisių tradicija. Jos teisėkūros proceso teisėtumu bei jos teismų stiprumu ir nepriklausomumu neabejojama. Spaudos laisvė yra dar viena stipri garantija, kad nebus piktnaudžiaujama pilietinėmis laisvėmis.
(8)
Bendrija visapusiškai, jei tai nepažeidžia jos teisės, įsipareigoja remti Kanadą kovoje su terorizmu. Bendrijos teisėje numatoma būtinybė išlaikyti saugumo interesų ir privatumo interesų pusiausvyrą. Pavyzdžiui, Direktyvos 95/46/EB 13 straipsnyje numatoma, kad, prireikus, valstybės narės gali priimti teisines priemones, kad apribotų tam tikrų tos direktyvos reikalavimų taikymo sritį dėl nacionalinio saugumo, gynybos, visuomenės saugumo ir kriminalinių nusikaltimų prevencijos, tyrimo, išaiškinimo ir baudžiamojo persekiojimo priežasčių.
(9)
Perduodant atitinkamus duomenis dalyvauja konkretūs duomenų valdytojai, t.y. skrydžius tarp Bendrijos ir Kanados vykdančios oro linijų bendrovės ir tik vienintelis jų gavėjas Kanadoje, t. y. CBSA.
(10)
Bet kokio susitarimo, skirto sukurti teisinį pagrindą PNR perduoti Kanadai, ypač remiantis šiuo sprendimu, laikotarpis turėtų būti apribotas. Buvo susitarta dėl trejų su puse metų laikotarpio. Per šį laikotarpį aplinkybės gali labai pasikeisti, todėl Bendrija ir Kanada susitarė, kad susitarimus reikės peržiūrėti.
(11)
CBSA perduotų į PNR įtrauktų oro keleivių asmens duomenų tvarkymas yra reglamentuojamas Kanados sienos paslaugų agentūros Įsipareigojimuose, susijusiuose su programos taikymu (toliau - Įsipareigojimai) ir Įsipareigojimuose nurodytuose Kanados vidaus teisės aktuose nustatytomis sąlygomis.
(12)
Iš visų Kanados vidaus teisės aktų šiuo atveju yra svarbus Privatumo įstatymas (angl. Privacy Act), Teisės gauti informaciją įstatymas (angl. Access to Information Act ) ir Muito įstatymo 107 skirsnis, nes jais yra kontroliuojamos sąlygos, kurioms esant CBSA gali atmesti prašymus atskleisti PNR, ir taip jį išlaikyti paslaptyje. Privatumo įstatymu reglamentuojamas PNR atskleidimas tiems asmenims, kuriems jis skirtas, ir yra glaudžiai susijęs su duomenų subjekto teise su juo susipažinti. Privatumo įstatymas taikomas tik Kanadoje esantiems asmenims. Vis dėlto CBSA papildomai sudaro sąlygas susipažinti su PNR informacija apie užsienio šalies piliečius, šiems nesant Kanadoje.
(13)
Įsipareigojimų atžvilgiu, kaip numatyta jų 43 skirsnyje, Įsipareigojimų nuostatos buvo įtrauktos į galiojančius Kanados teisės aktus arba jos yra įrašytos į specialiai tuo tikslu parengtas vidaus taisykles, ir todėl jos turės teisinę galią. Visi Įsipareigojimai bus skelbiami Kanados Gazette leidinyje. Todėl jie yra rimti ir gerai apgalvoti CBSA įsipareigojimai, o ar jų laikomasi, nustatoma per Kanados ir Bendrijos bendrą peržiūrą. Dėl jų nesilaikymo, prireikus, galėtų būti ginčijamasi teisiniais, administraciniais ir politiniais būdais, o jei jie pažeidinėjami pastoviai, šio sprendimo galiojimas galėtų būti laikinai sustabdomas.
(14)
Standartai, kuriais remiantis CBSA tvarkys keleivių PNR duomens pagal Kanados teisės aktus ir Įsipareigojimus, apima pagrindinius principus, kurių reikia užtikrinant adekvatų fizinių asmenų apsaugos lygį.
(15)
Laikantis tikslo ribojimo principo, į PNR įtraukti oro keleivių asmens duomenys, kurie yra perduoti CBSA, bus tvarkomi atsižvelgiant į konkretų tikslą, o tada panaudojami arba toliau perduodami tiktai tuo atveju, kai tai yra suderinama su perdavimo tikslu. PNR duomenys iš esmės bus naudojami tik užkertant kelią terorizmui ir su juo susijusiais nusikaltimais, bei kovojant su jais; kitiems sunkiems tarptautinio pobūdžio nusikaltimams, įskaitant organizuotus nusikaltimus.
(16)
Laikydamasi duomenų kokybės ir proporcingumo principo dėl svarbių viešųjų interesų, kuriuos užtikrinant perduodami PNR duomenys, CBSA vėliau nekeis gautų PNR duomenų. Bus perduotos ne daugiau kaip 25 PNR duomenų kategorijos, o CBSA konsultuosis ir tarsis su Europos Komisija dėl 25 reikalaujamų PNR duomenų elementų, nustatytų A priedėlyje, peržiūros prieš ją atlikdama. Tiesiogiai PNR duomenų sąlygota papildoma asmeninė informacija iš kitų, ne vyriausybės institucijų gaunama tik teisėtais būdais. Paprastai PNR bus ištrinti praėjus daugiausia 3 metams ir 6 mėnesiams.
(17)
Laikydamasi skaidrumo principo, CBSA teiks informaciją keleiviams apie perdavimo ir tvarkymo tikslą bei apie trečiosios šalies duomenų valdytojo tapatybę bei kitą informaciją.
(18)
Laikydamasi saugumo principo, CBSA imasi techninių ir organizacinių saugumo priemonių, kurios yra tinkamos atsižvelgiant į tvarkymo sukeliamą pavojų.
(19)
Privatumo įstatyme Kanadoje esantiems asmenims yra pripažįstama galimybės susipažinti su duomenimis, jų patikslinimo ir prašymo įrašyti, kad buvo prieštarauta teisė. CBSA Kanadoje nesantiems užsienio šalies piliečiams išplės šią teisę jos turimos PNR informacijos atžvilgiu. Numatomas išimtis iš esmės galima lyginti su apribojimais, kuriuos valstybės narės gali taikyti pagal Direktyvos 95/46/EB 13 straipsnį.
(20)
Duomenys kiekvienu atveju toliau bus perduodami kitoms vykdomosios valdžios institucijoms, įskaitant užsienio vykdomosios valdžios institucijas, tais tikslais, kurie yra tokie patys arba atitinka tikslus, nustatytus tikslus apribojančioje formuluotėje dėl mažiausio duomenų kiekio. Taip pat duomenys gali būti perduodami siekiant apsaugoti duomenų subjekto ar kitų asmenų gyvybinius interesus, ypač jei tai yra susiję su dideliu pavojumi sveikatai, arba vykstant bet kokiam teisminiam baudžiamajam procesu, arba dėl kitų įstatymu nustatytų priežasčių. Gaunančiosios tarnybos pagal tiksliai apibrėžtas atskleidimo sąlygas įsipareigoja naudoti duomenis tik tiems tikslams ir negali perduoti duomenų toliau be CBSA sutikimo. Jokia kita užsienio, federalinė, regionų ar vietos įstaiga negali elektroniniu būdu prisijungti prie PNR duomenų per CBSA duomenų bazes. CBSA atsisakys viešai atskleisti PNR remdamasi atitinkamų Teisės gauti informaciją įstatymo ir Privatumo įstatymo nuostatų išimtimis.
(21)
CBSA negauna slaptų Direktyvos 95/46/EB 8 straipsnyje nurodytų domenų.
(22)
Siekiant įgyvendinti mechanizmus, užtikrinančius, kad CBSA laikysis šių principų, numatoma CBSA darbuotojus mokyti ir informuoti, o atskiriems darbuotojams gali būti taikomos sankcijos. Apskritai, tai, kaip CBP laikosi privatumo reikalavimo, prižiūri nepriklausoma Kanados privatumo reikalų komisarės tarnyba (angl. independent Office of the Canadian Privacy Commissioner) pagal Kanados teisių ir laisvių chartiją (angl. Canadian Charter of Rights and Freedoms) ir Privatumo įstatymą. Privatumo reikalų komisarė (angl. Privacy Commissioner) gali nagrinėti Bendrijos gyventojų vardu valstybių narių duomenų apsaugos institucijų pateiktus skundus, jeigu gyventojas mano, kad jo arba jos skundą CBSA išnagrinėjo netinkamai. Įsipareigojimų laikymasis bus įtrauktas į bendrą peržiūrą, kurią kasmet turės vykdyti CBSA kartu su Komisijos vadovaujama grupe.
(23)
Siekiant skaidrumo ir norint apsaugoti valstybių narių kompetentingų valdžios institucijų galimybes užtikrinti asmenų apsaugą, kai tvarkomi pastarųjų asmens duomenys, svarbu tiksliai apibrėžti išimtines aplinkybes, kuriomis gali būti pagrįstas konkrečių duomenų srauto laikinas sustabdymas, nepažeidžiant adekvačios apsaugos.
(24)
Pagal Direktyvos 95/46/EB 29 straipsnį įsteigta darbo grupė asmenų apsaugai tvarkant asmens duomenis pateikė nuomones apie Kanados valdžios institucijų teikiamą keleivių duomenų apsaugos lygį, tapusią (-ias) Komisijos gairėmis derybose su CBSA. Komisija atsižvelgė į šias nuomones rengdama šį sprendimą (4).
(25)
Šiame sprendime numatytos priemonės atitinka Direktyvos 95/46/EB 31 straipsnio 1 dalimi įsteigto komiteto nuomonę,
PRIĖMĖ ŠĮ SPRENDIMĄ:
1 straipsnis
Direktyvos 95/46/EB 25 straipsnio 2 dalyje Kanados sienos paslaugų agentūra (toliau - CBSA) yra laikoma institucija, užtikrinančia adekvatų iš Bendrijos gaunamų PNR duomenų apie skrydžius į Kanadą apsaugos lygį pagal I priede nustatytus Įsipareigojimus.
2 straipsnis
Šis sprendimas yra susijęs su CBSA teikiamos apsaugos adekvatumu, siekiant atsižvelgti į Direktyvos 95/46/EB 25 straipsnio 1 dalies reikalavimus, ir nedaro įtakos kitoms sąlygoms arba apribojimams, įgyvendinant kitas tos direktyvos, kuri siejasi su asmens duomenų tvarkymu valstybėse narėse, nuostatas.
3 straipsnis
1. Nepažeisdamos savo galių imtis veiksmų, užtikrinančių nacionalinių nuostatų, priimtų pagal kitų nei Direktyvos 95/46/EB 25 straipsnio nuostatas, laikymąsi, valstybių narių kompetentingos institucijos gali pasinaudoti savo turimomis galiomis ir laikinai sustabdyti duomenų srautus į CBSA tam, kad apsaugotų asmenis, kai tvarkomi jų asmens duomenys šiais atvejais:
a)
jeigu kompetentinga Kanados institucija nustatė, kad CBSA pažeidžia taikomus apsaugos standartus; arba
b)
jeigu yra reali tikimybė, kad pažeidinėjami I priede nustatyti apsaugos standartai, yra pagrįstų priežasčių manyti, kad CBSA nesiima arba nesiims adekvačių ir savalaikių priemonių konkrečiam atvejui išspręsti; tolesnis perdavimas sukeltų gresiantį didelės žalos duomenų subjektams pavojų, ir todėl tomis aplinkybėmis valstybių narių kompetentingos institucijos dėjo tinkamas pastangas, pateikdamos CBSA pranešimą ir suteikdamos galimybę atsakyti į jį.
2. Laikinas sustabdymas galioja tol, kol yra užtikrinami apsaugos standartai, ir apie tai pranešama atitinkamų valstybių narių kompetentingoms valdžios institucijoms.
4 straipsnis
1. Priėmusios priemones pagal 3 straipsnį, valstybės narės apie tai nedelsdamos praneša Komisijai.
2. Valstybės narės ir Komisija praneša vienos kitoms apie bet kokius apsaugos standartų pasikeitimus ir apie atvejus, kuriais institucijų, atsakingų už tai, kad CBSA laikytųsi apsaugos standartų, veiksmai, kaip nustatyta I priede, neužtikrina tokio laikymosi.
3. Jeigu pagal 3 straipsnį ir pagal šio straipsnio 1 ir 2 dalis surinkta informacija įrodo, kad nebesilaikoma pagrindinių principų, kurie būtini užtikrinant fizinių asmenų adekvatų apsaugos lygį, arba, kad institucija, kuri yra atsakinga už tai, kad CBSA laikytųsi I priede nustatytų apsaugos standartų, neefektyviai atlieka savo vaidmenį, būtina apie tai pranešti CBSA, o prireikus, siekiant šį sprendimą panaikinti arba laikinai sustabdyti jo galiojimą, taikyti Direktyvos 95/46/EB 31 straipsnio 2 dalyje numatytą tvarką.
5 straipsnis
Šio sprendimo veikimas yra stebimas, ir apie bet kokius susijusius duomenis pranešama pagal Direktyvos 95/46/EB 31 straipsnį įsteigtam komitetui, įskaitant visus įrodymus, kurie gali daryti poveikį šio sprendimo 1 straipsnio išvadai, kad CBSA gaunamų oro keleivių PNR su asmens duomenimis apsauga atitinka Direktyvos 95/46/EB 25 straipsnio reikalavimus.
6 straipsnis
Per keturis mėnesius nuo pranešimo apie sprendimą dienos valstybės narės imasi visų priemonių, kurių reikia užtikrinant sprendimo laikymąsi.
7 straipsnis
Šis sprendimas galioja 3 metus ir 6 mėnesius nuo pranešimo apie jį, išskyrus, kai galiojimas pratęsiamas Direktyvos 95/46/EB 31 straipsnio 2 dalyje nustatyta tvarka.
8 straipsnis
Šis sprendimas skirtas valstybėms narėms.
Priimta Briuselyje, 2005 m. rugsėjo 6 d.