32006D0253
L 091/49
JURNALUL OFÍCIAL AL UNIUNII EUROPENE
DECIZIA COMISIEI
din 6 septembrie 2005
privind protecția adecvată a datelor cu caracter personal conținute în dosarele pasagerilor aerieni transferate Agenției de Servicii Frontaliere a Canadei
[notificată cu numărul C(2005) 3248]
(Text cu relevanță pentru SEE)
(2006/253/CE)
COMISIA COMUNITĂȚILOR EUROPENE,
având în vedere Tratatul de instituire a Comunității Europene,
având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1), în special articolul 25 alineatul (6),
întrucât:
(1)
Directiva 95/46/CE cere statelor membre să prevadă ca transferul datelor cu caracter personal către o țară terță să poată fi efectuat numai în cazul în care țara terță respectivă asigură un nivel de protecție adecvat și numai în cazul în care este respectată, înainte de transfer, legislația statelor membre de punere în aplicare a altor dispoziții ale directivei.
(2)
Comisia poate constata că o țară terță asigură un nivel de protecție adecvat. În acest caz, datele cu caracter personal pot fi transferate din statele membre fără a mai fi necesară nici o garanție suplimentară.
(3)
În conformitate cu Directiva 95/46/CE, nivelul de protecție a datelor ar trebui să fie evaluat luându-se în considerare toate împrejurările legate de o operațiune de transfer de date sau de o serie de operațiuni de transfer de date, acordându-se o atenție deosebită anumitor elemente relevante pentru transfer și menționate la articolul 25 alineatul (2).
(4)
În contextul transportului aerian, „dosarul pasagerului” (DP) este un fișier care conține informații referitoare la călătorie ale fiecărui pasager. El include toate informațiile necesare pentru a permite prelucrarea și controlul rezervărilor de către companiile aeriene contractante sau partenere (2). În sensul prezentei decizii, termenii „pasager” și „pasageri” includ și membrii echipajului. „Compania aeriană contractantă” înseamnă compania aeriană la care pasagerul și-a făcut inițial rezervarea sau la care s-au făcut rezervări suplimentare după începerea călătoriei. „Companie aeriană parteneră” înseamnă orice companie aeriană la care compania aeriană contractantă a solicitat un loc, la un zbor sau mai multe zboruri, pentru un pasager.
(5)
Agenția de Servicii Frontaliere a Canadei (ASFC) solicită tuturor transportatorilor aerieni care asigură transportul pasagerilor cu destinația Canada să i se furnizeze acces electronic la acele DP primite și stocate în sistemele informatizate de rezervare și de control al plecărilor ale acestor transportatori.
(6)
Obligația transferării către ASFC a datelor cu caracter personal conținute în DP-urile pasagerilor aerieni se bazează pe dispozițiile articolului 107.1 din Legea vămilor și alineatul (148) litera (d) din Legea privind imigrația și protecția refugiaților, precum și pe regulamentele de punere în aplicare adoptate în temeiul acestor legi (3).
(7)
Legislația canadiană respectivă privește întărirea siguranței și a condițiilor în care persoanele pot intra în țară, probleme în care Canada are putere de decizie suverană în cadrul jurisdicției sale. De asemenea, cerințele nu contravin altor angajamente internaționale luate de Canada. Canada este o țară democratică, guvernată în conformitate cu principiile unui stat de drept și cu o puternică tradiție în privința libertăților civile. Legitimitatea procesului său legislativ, precum și forța și independența puterii sale judecătorești nu pot fi puse sub semnul întrebării. Libertatea presei este o altă garanție puternică împotriva violării libertăților civile.
(8)
Comunitatea este pe deplin angajată să sprijine Canada în lupta împotriva terorismului, în limitele impuse de dreptul comunitar. Dreptul comunitar prevede stabilirea unui echilibru necesar între preocupările în domeniul siguranței și cele referitoare la protecția datelor cu caracter personal. De exemplu, articolul 13 din Directiva 95/46/CE permite statelor membre să ia măsuri legislative în vederea restricționării domeniului de aplicare al anumitor cerințe menționate de respectiva directivă, în cazul în care acest lucru este impus de rațiuni ce țin de siguranța națională, apărare, siguranța publică, precum și prevenirea, cercetarea, detectarea și urmărirea penală a infracțiunilor.
(9)
Transferurile de date implică controlori speciali, și anume companiile aeriene care asigură legătura între Comunitate și Canada, și un singur destinatar în Canada, respectiv ASFC.
(10)
Orice înțelegere destinată stabilirii unui cadru legislativ pentru transferurile de DP către Canada, în special în temeiul prezentei decizii, ar trebui să fie limitată în timp. S-a convenit o perioadă de trei ani și jumătate. În timpul acestei perioade, contextul se poate schimba în mod considerabil, iar Comunitatea și Canada sunt de acord că va fi necesară o revizuire a înțelegerilor.
(11)
Prelucrarea de către ASFC a datelor cu caracter personal conținute în DP-urile pasagerilor aerieni care îi sunt transferate este reglementată de condițiile stabilite în Angajamentele Agenției de Servicii Frontaliere a Canadei în legătură cu aplicarea programului său DP (denumite în continuare „angajamentele”) și de legislația internă canadiană în condițiile prevăzute de aceste angajamente.
(12)
În ceea ce privește legislația internă canadiană, Legea privind protecția informațiilor cu caracter personal, Legea privind accesul la informații și articolul 107 din Legea vămilor sunt relevante în contextul actual în măsura în care ele reglementează condițiile în care ASFC poate să se opună solicitărilor de divulgare și astfel să păstreze confidențialitatea DP-urilor. Legea privind protecția informațiilor cu caracter personal reglementează divulgarea informațiilor din DP către persoanele interesate, în strânsă legătură cu dreptul de acces al acestora. Legea privind protecția informațiilor cu caracter personal se aplică numai persoanelor care sunt prezente în Canada. Cu toate acestea, ASFC acordă acces la informațiile din DP deținute cu privire la un resortisant străin, în cazul în care această persoană nu este prezentă în Canada.
(13)
În ceea ce privește angajamentele și în conformitate cu cele prevăzute la articolul 43, dispozițiile angajamentelor au fost incluse în dreptul canadian în vigoare sau sunt înscrise în norme administrative interne formulate în mod special în acest scop și astfel vor avea un efect juridic. Angajamentele se vor publica integral în Gazeta Canadei. Astfel, ele vor reprezenta un angajament serios și bine fundamentat din partea ASFC, iar respectarea lor va fi controlată în comun de Canada și de Comunitate. Nerespectarea lor poate fi combătută, după caz, pe cale juridică, administrativă și politică, iar repetarea nerespectării determină suspendarea efectelor prezentei decizii.
(14)
Standardele în conformitate cu care ASFC va prelucra datele DP ale pasagerilor pe baza legislației canadiene și a angajamentelor respectă principiile esențiale necesare pentru asigurarea unui nivel de protecție adecvat al persoanelor fizice.
(15)
În ceea ce privește principiul limitării la un scop specific, datele cu caracter personal ale pasagerilor aerieni conținute în DP-urile care sunt transferate către ASFC vor fi prelucrate într-un scop specific, iar ulterior vor fi utilizate sau comunicate mai departe numai în măsura în care această acțiune este compatibilă cu scopul transferului. În special, datele din DP vor fi utilizate strict în scopul prevenirii și al combaterii: terorismului și a infracțiunilor legate de terorism; a altor infracțiuni grave, inclusiv crima organizată, care, prin natura lor, au un caracter transnațional.
(16)
În ceea ce privește calitatea datelor și principiul proporționalității, care trebuie luate în considerare împreună cu motivele importante de interes public care justifică transferarea datelor din DP, datele furnizate către ASFC nu vor fi modificate ulterior de către aceasta. Se vor transfera cel mult 25 categorii de date din DP, iar ASFC se va consulta cu Comisia Europeană și va conveni cu aceasta revizuirea celor 25 rubrici de date DP necesare, enumerate în anexa A, înainte de efectuarea oricărei revizuiri. Informațiile personale suplimentare investigate ca rezultat direct al datelor din DP vor fi obținute de la surse neguvernamentale, numai pe cale legală. Ca regulă generală, DP-urile vor fi șterse după o perioadă maximă stabilită la trei ani și șase luni.
(17)
În ceea ce privește principiul transparenței, ASFC va furniza informații călătorilor referitoare la scopul transferului și al prelucrării datelor și la identitatea inspectorului responsabil cu prelucrarea datelor, precum și alte informații.
(18)
În ceea ce privește principiul siguranței, ASFC ia măsurile de siguranță tehnică și organizațională corespunzătoare cu riscurile prezentate de prelucrarea datelor.
(19)
Drepturile de acces, de rectificare și de contestare sunt recunoscute de Legea privind protecția informațiilor cu caracter personal pentru acele persoane care sunt prezente în Canada. ASFC va extinde aceste drepturi în privința informațiilor din DP aflate în posesia sa și străinilor care nu sunt prezenți în Canada. Excepțiile prevăzute sunt în mare măsură comparabile cu restricțiile care pot fi impuse de statele membre în conformitate cu articolul 13 din Directiva 95/46/CE.
(20)
Transferuri ulterioare vor fi efectuate, de la caz la caz, către alte autorități guvernamentale, inclusiv autorități guvernamentale străine, în scopuri care sunt identice sau conforme cu cele stabilite în declarația de limitare a scopului privind o cantitate minimă de date. De asemenea, pot fi făcute transferuri pentru protejarea intereselor vitale ale persoanei la care se referă datele sau ale altor persoane, în special în ceea ce privește riscuri pentru sănătate sau în cadrul oricărei proceduri penale sau în cazul altor cerințe prevăzute de lege. Aceste autorități care primesc datele sunt obligate, prin condițiile exprese de divulgare, să utilizeze datele numai în scopurile respective și nu pot să procedeze la un transfer ulterior al datelor fără acordul ASFC. Nicio altă autoritate străină, federală, provincială sau locală nu are acces electronic direct la datele din DP prin bazele de date ASFC. ASFC se va opune divulgării publice a informațiilor din DP pe baza excepțiilor de la dispozițiile relevante din Legea privind accesul la informații și Legea privind protecția informațiilor cu caracter personal.
(21)
ASFC nu primește date confidențiale, în sensul articolului 8 din Directiva 95/46/CE.
(22)
În ceea ce privește mecanismele de control ce asigură respectarea de către ASFC a acestor principii, se prevede un sistem de formare și de informare a personalului ASFC, precum și sancțiuni cu privire la membrii individuali ai personalului respectiv. Biroul independent al Comisarului Canadei care răspunde de protecția vieții private (Privacy Commissioner of Canada) supraveghează respectarea de către ASFC a confidențialității datelor în general, în condițiile stabilite de Carta canadiană a drepturilor și a libertăților și de Legea privind protecția informațiilor cu caracter personal. Comisariatul Canadei care răspunde de protecția vieții private poate examina plângerile care îi sunt transmise de autoritățile care se ocupă de protecția datelor din statele membre, în numele rezidenților Uniunii Europene, în cazul în care aceștia estimează că plângerile lor nu au fost tratate în mod satisfăcător de către ASFC. Respectarea angajamentelor face obiectul unei examinări anuale comune, efectuate de ASFC și o echipă condusă de Comisie.
(23)
În interesul transparenței și pentru a se garanta capacitatea autorităților competente din statele membre de a asigura protecția persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal, este necesar să se specifice împrejurările excepționale în care se poate justifica suspendarea fluxurilor specifice de date, independent de constatarea nivelului de protecție corespunzător.
(24)
Grupul de lucru pe probleme de protecție a persoanelor cu privire la prelucrarea datelor cu caracter personal, instituit în temeiul articolului 29 din Directiva 95/46/CE, a transmis avize referitoare la nivelul de protecție asigurat de autoritățile canadiene în privința datelor care se referă la pasageri, care au ghidat Comisia pe tot parcursul negocierilor sale cu ASFC. Comisia a luat notă de aceste avize în procesul de elaborare a prezentei decizii (4).
(25)
Măsurile prevăzute de prezenta decizie sunt în conformitate cu avizul comitetului instituit prin articolul 31 alineatul (1) din Directiva 95/46/CE,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
În înțelesul articolului 25 alineatul (2) din Directiva 95/46/CE, se consideră că Agenția de Servicii Frontaliere a Canadei (denumită în continuare „ASFC”) asigură un nivel adecvat de protecție a datelor din DP transferate din Comunitate privind zborurile care au drept destinație Canada, în conformitate cu angajamentele din anexă.
Articolul 2
Prezenta decizie se referă la nivelul de protecție adecvat asigurat de ASFC în vederea respectării cerințelor din articolul 25 alineatul (1) din Directiva 95/46/CE și nu afectează alte condiții sau restricții care pun în aplicare alte dispoziții din respectiva directivă ce se referă la prelucrarea datelor cu caracter personal în statele membre.
Articolul 3
(1) Fără a se aduce atingere competențelor lor de a lua măsuri pentru asigurarea respectării dispozițiilor de drept intern adoptate în temeiul altor dispoziții decât cele ale articolului 25 din Directiva 95/46/CE, autoritățile competente din statele membre își pot exercita competențele de care dispun pentru a suspenda transferurile de date către ASFC, în scopul protejării persoanelor fizice cu privire la prelucrarea datelor lor cu caracter personal, în următoarele cazuri:
(a)
în cazul în care o autoritate canadiană competentă a constatat că ASFC nu respectă standardele de protecție aplicabile sau
(b)
în cazul în care este foarte probabil ca standardele de protecție stabilite în anexa I să nu fie respectate, există motive întemeiate să se creadă că ASFC nu ia sau nu va lua la timp măsuri adecvate pentru soluționarea problemei respective sau continuarea transferului ar crea un risc iminent de prejudicii grave pentru persoanele în cauză, iar autoritățile competente ale statului membru au făcut eforturi rezonabile, în împrejurările respective, de a avertiza ASFC și de a-i da posibilitatea să răspundă.
(2) Suspendarea încetează de îndată ce standardele de protecție sunt asigurate, iar autoritățile competente din statele membre respective sunt notificate în legătură cu aceasta.
Articolul 4
(1) Statele membre informează fără întârziere Comisia în legătură cu măsurile adoptate în conformitate cu articolul 3.
(2) Statele membre și Comisia se informează reciproc în legătură cu orice modificare a standardelor de protecție, precum și în legătură cu cazurile în care măsurile întreprinse de organismele care răspund de verificarea modului în care ASFC respectă standardele de protecție stabilite în anexă nu sunt suficiente pentru a asigura această respectare.
(3) În cazul în care informațiile colectate în conformitate cu articolul 3 și cu alineatele (1) și (2) din prezentul articol demonstrează că nu mai sunt respectate principiile de bază necesare pentru asigurarea unui nivel adecvat de protecție a persoanelor fizice sau în cazul în care oricare organism care răspunde de verificarea modului în care ASFC respectă standardele de protecție stabilite în anexă nu își mai îndeplinește în mod eficient acest rol, trebuie să se informeze ASFC și, în cazul în care este necesar, să se aplice procedura menționată la articolul 31 alineatul (2) din Directiva 95/46/CE, în vederea anulării sau a suspendării prezentei decizii.
Articolul 5
Aplicarea prezentei decizii trebuie să fie monitorizată, iar orice constatare pertinentă se raportează comitetului instituit prin articolul 31 din Directiva 95/46/CE, inclusiv orice dovadă care ar putea afecta estimarea, în temeiul articolului 1 din prezenta decizie, a nivelului adecvat de protecție a datelor cu caracter personal conținute în DP-urile pasagerilor aerieni transferate către ASFC, în înțelesul articolului 25 din Directiva 95/46/CE.
Articolul 6
Statele membre iau toate măsurile necesare pentru a se conforma prezentei decizii în termen de patru luni de la data notificării sale.
Articolul 7
Prezenta decizie expiră după trei ani și șase luni de la data notificării sale, în afara cazului în care valabilitatea ei se prelungește în conformitate cu procedura prevăzută la articolul 31 alineatul (2) din Directiva 95/46/CE.
Articolul 8
Prezenta decizie se adresează statelor membre.
Adoptată la Bruxelles, 6 septembrie 2005.