ROZHODNUTIE KOMISIE
zo 14. mája 2004
o adekvátnej ochrane osobných údajov uvedených v Zázname podľa mena cestujúceho o cestujúcich lietadlom odoslaných Úradu Spojených štátov na ochranu colného priestoru a hraníc
(oznámené pod číslom K(2004) 1914)
(Text s významom pre EHP)
(2004/535/ES)
KOMISIA EURÓPSKYCH SPOLOČENSTIEV,
so zreteľom na Zmluvu o založení Európskeho spoločenstva,
so zreteľom na smernicu Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane jednotlivcov v súvislosti so spracovaním osobných údajov a s voľným pohybom týchto údajov (1), najmä na jej článok 25 odsek 6,
keďže:
(1)
Podľa smernice 95/46/ES sú členské štáty povinné zabezpečiť, aby sa odoslanie osobných údajov do tretej krajiny uskutočnilo len vtedy, keď príslušná tretia krajina zabezpečí adekvátny stupeň ochrany a keď sú právne predpisy členských štátov, ktorými sa implementujú iné ustanovenia uvedenej smernice, zosúladené pred odoslaním údajov.
(2)
Komisia môže zistiť, že tretia krajina zabezpečuje adekvátny stupeň ochrany. V takom prípade môžu byť osobné údaje odoslané z členských štátov bez potrebných dodatočných záruk.
(3)
Podľa smernice 95/46/ES by mal byť stupeň ochrany údajov prehodnotený vo svetle všetkých okolností súvisiacich s operáciou odosielania údajov alebo súborom operácií odosielania údajov a s venovaním zvláštnej pozornosti množstvu zodpovedajúcich prvkov pri odosielaní, ktoré sú uvedené v článku 25 odsek 2.
(4)
V rámci leteckej dopravy je „Záznam podľa mena cestujúceho“ (PNR) záznam o cestovných požiadavkách každého cestujúceho, ktorý obsahuje všetky informácie potrebné na vybavenie rezervácií a na ich kontrolu rezervačnými a zúčastnenými aerolíniami. Na účely tohto rozhodnutia zahŕňajú výrazy „cestujúci“ (jedna osoba) a „cestujúci“ (viaceré osoby) aj členov posádky. „Rezervačné aerolínie“ označujú aerolínie, v ktorých si cestujúci zabezpečil svoje pôvodné rezervácie alebo prostredníctvom ktorých sa uskutočnili dodatočné rezervácie po vycestovaní. „Zúčastnené aerolínie“ označujú všetky aerolínie, v ktorých rezervačné aerolínie žiadali o zabezpečenie jedného alebo viacerých svojich letov pre cestujúceho.
(5)
Úrad Spojených štátov na ochranu colného priestoru a hraníc (CBP) Ministerstva pre vnútornú bezpečnosť (DHS, Department of Homeland Security) požaduje, aby bol každý prevádzkovateľ osobných letov v cezhraničnej leteckej doprave do alebo zo Spojených štátov vybavený elektronickým prístupom k PNR v takej miere, aby bol PNR zozbieraný a obsiahnutý v automatizovanom rezervačnom systéme leteckého prepravcu.
(6)
Požiadavky pre osobné údaje, ktoré sa nachádzajú v PNR cestujúcich lietadlom a ktoré majú byť odoslané CBP, vychádzajú zo štatútu ustanoveného Spojenými štátmi v novembri 2001 (2) a z vykonávajúcich nariadení prijatých CBP v rámci tohto štatútu (3).
(7)
Legislatíva Spojených štátov v tejto oblasti sa týka posilnenia bezpečnosti a podmienok, na základe ktorých môžu jednotlivci vstúpiť do krajiny a opustiť ju, záležitosti, v ktorých prináleží Spojeným štátom suverénne oprávnenie rozhodovať vo sfére svojej súdnej právomoci. Stanovené požiadavky navyše neodporujú žiadnym medzinárodným záväzkom, ktoré Spojené štáty prijali. Spojené štáty sú demokratickou krajinou, ovládanou zásadou vlády práva, ktorá sa vyznačuje silnou tradíciou občianskych slobôd. Legitímnosť ich zákonodarného procesu, sila a nezávislosť ich súdnictva sú nesporné. Sloboda tlače je ďalšou silnou zárukou toho, že sa občianske slobody nebudú zneužívať.
(8)
Spoločenstvo je v plnej miere ochotné podporovať Spojené štáty v boji proti terorizmu, v rámci obmedzení vyplývajúcich z práva spoločenstva. Právo spoločenstva podporuje kroky nevyhnutné pre udržanie rovnováhy medzi otázkami bezpečnosti a súkromia. Napríklad, na základe článku 13 smernice 95/46/ES môžu členské štáty v prípade potreby prijímať legislatívu na obmedzenie rozsahu niektorých požiadaviek uvedených v danej smernici, z dôvodu národnej bezpečnosti, obrany, verejnej bezpečnosti a prevencie, vyšetrovania, odhaľovania a stíhania trestných činov.
(9)
Odosielanie spomínaných údajov zahŕňa špecifických operátorov, konkrétne aerolínie prevádzkujúce lety medzi spoločenstvom a Spojenými štátmi a len jedného prijímateľa v Spojených štátoch, konkrétne CBP.
(10)
Každé opatrenie na zabezpečenie právneho rámca pre odosielanie PNR do Spojených štátov, by malo byť, predovšetkým na základe tohto rozhodnutia, časovo obmedzené. Schválené bolo obdobie tri a pol roka, počas tohto obdobia sa kontext môže značne zmeniť a spoločenstvo a Spojené štáty sa zhodli na tom, že bude potrebná revízia týchto opatrení.
(11)
Spracovanie osobných údajov uvedených v PNR cestujúcich lietadlom, ktoré bolo zaslané CBP, sa riadi podmienkami ustanovenými v Záväzkoch Úradu na ochranu colného priestoru a hraníc Ministerstva pre vnútornú bezpečnosť zo dňa 11. mája 2004 (ďalej len „záväzky“) a vo vnútroštátnej legislatíve Spojených štátov v rozsahu stanovenom v záväzkoch.
(12)
Čo sa týka vnútroštátneho práva v Spojených štátoch, Zákon o slobodnom prístupe k informáciám (Freedom of Information Act - FOIA) je v súčasnosti relevantný do tej miery, že kontroluje podmienky, na základe ktorých môže CBP odolávať požiadavkám na zverejnenie a udržiavať tak dôverný charakter PNR, Zákon upravuje poskytovanie PNR osobe, ktorej sa to týka, v úzkom spojení s právom dotyčnej osoby na prístup k informáciám. Uplatňuje sa bez rozdielu tak na občanov Spojených štátov, ako aj na iných štátnych príslušníkov.
(13)
Čo sa týka záväzkov a ako je to ustanovené v ich odseku 44, vyhlásenia v záväzkoch budú zahrnuté, alebo už boli zahrnuté v štatútoch, nariadeniach, smerniciach alebo v iných politických nástrojoch v Spojených štátoch a majú tak rôzne stupne právneho účinku. Záväzky budú v plnom znení uverejnené vo Federal Register na základe právomocí DHS. Ako také, predstavujú vážny a dôkladne zvážený politický záväzok zo strany DHS a ich zosúladenie sa stane predmetom spoločného posudku zo strany Spojených štátov a spoločenstva. Absencia zosúladenia by sa mohla riešiť vhodnými právnymi, administratívnymi a politickými kanálmi, a ak bude pretrvávať, viedla by k pozastaveniu účinnosti tohto rozhodnutia.
(14)
Štandardy, na základe ktorých bude CBP spracúvať údaje zo PNR cestujúcich, na základe legislatívy Spojených štátov a záväzkov, pokrývajú základné princípy potrebné na zabezpečenie adekvátneho stupňa ochrany pre fyzické osoby.
(15)
Čo sa týka princípu obmedzenia účelu, osobné údaje cestujúcich lietadlom, ktoré sa uvádzajú v PNR odoslanom CBP, budú spracované pre špecifický účel a následne budú použité alebo odoslané ďalším orgánom len v takom rozsahu, ktorý bude kompatibilný s účelom odoslania. Predovšetkým, údaje uvedené v PNR sa budú striktne využívať s cieľom prevencie a boja proti terorizmu a s ním súvisiacim trestným činom; ďalším závažným trestným činom vrátane organizovaného zločinu, ktoré majú nadnárodnú povahu; a úteku pred zatknutím alebo uväznením za tieto trestné činy.
(16)
Čo sa týka kvality údajov a princípu proporcionality, ktorý je potrebné zvážiť vo vzťahu k významným sféram verejného záujmu, pre ktoré sú údaje zo PNR odosielané, údaje zo PNR poskytnuté CBP nebudú týmto následne zmenené. Odoslaných bude maximálne 34 kategórií údajov PNR a orgány Spojených štátov budú pred zavedením akýchkoľvek nových požiadaviek konzultovať Komisiu. Dodatočné osobné informácie požadované na základe priameho výsledku údajov PNR sa získajú z mimovládnych zdrojov len prostredníctvom právnych kanálov. Ako všeobecné pravidlo, PNR sa po období v maximálnom trvaní 3 roky a 6 mesiacov vymaže, s výnimkou údajov, ktoré boli sprístupnené v súvislosti so špeciálnym vyšetrovaním, alebo k nim bol umožnený iný manuálny prístup.
(17)
Čo sa týka princípu transparentnosti, CBP bude cestujúcim poskytovať informácie týkajúce sa účelu odoslania a spracovania údajov a identity kontrolóra údajov v tretej krajine, ako aj ďalšie informácie.
(18)
Čo sa týka princípu bezpečnosti, opatrenia pre technickú a organizačnú bezpečnosť má na starosti CBP, tieto opatrenia musia zodpovedať rizikám zisteným pri spracovaní údajov.
(19)
Uznáva sa právo na prístup k údajom a ich opravu, osoba, s ktorou príslušné údaje súvisia, si môže vyžiadať kópiu údajov PNR a opravu nepresných údajov. Prípadné výnimky sú vo veľkej miere porovnateľné s obmedzeniami, ktoré môžu zaviesť členské štáty na základe článku 13 smernice 95/46/ES.
(20)
Údaje sa následne odošlú ďalším vládnym orgánom vrátane zahraničných vládnych orgánov, ktorých funkcia má protiteroristické zameranie alebo je zacielená na vymáhanie práva, na základe jednotlivých prípadov, na účely, ktoré zodpovedajú účelom uvedeným v ustanovení o obmedzení účelu. Odosielanie údajov sa môže tiež uskutočniť s cieľom ochrany hlavných záujmov osoby, ktorej sa údaje týkajú alebo ďalších osôb, predovšetkým v súvislosti so značným ohrozením zdravia, alebo v akomkoľvek súdnom konaní, alebo keď to iným spôsobom bude vyžadovať právny poriadok. Prijímajúce agentúry sú povinné na základe stanovených podmienok o poskytovaní údajov využívať tieto údaje len na stanovené účely a nemôžu ďalej odosielať údaje bez súhlasu CBP. Žiadna iná zahraničná, federálna, štátna alebo miestna agentúra nemá priamy elektronický prístup k údajom PNR prostredníctvom databáz CBP. CBP zamietne zverejnenie PNR na základe výnimiek z príslušných ustanovení Zákona o slobodnom prístupe k informáciám.
(21)
CBP nepoužíva citlivé údaje v zmysle článku 8 smernice 95/46/ES, a pokiaľ sa nezavedie systém filtrov na vylúčenie takýchto údajov zo PNR odosielaného do Spojených štátov, CBP sa bude snažiť zaviesť prostriedky na vymazanie takýchto informácií a zatiaľ ich nepoužívať.
(22)
Čo sa týka vykonávajúcich mechanizmov na zabezpečenie súladu s týmito princípmi zo strany CBP, je zabezpečené školenie a informovanie zamestnancov CBP, ako aj sankcie uplatniteľné pre jednotlivých zamestnancov. Rešpektovanie súkromia zo strany CBP bude vo všeobecnosti pod dohľadom DHS Chief Privacy Officer, ktorý je úradníkom DHS, ale ktorý má veľkú mieru organizačnej autonómie a ktorý musí každoročne podávať správu Kongresu. Osoby, ktorých údaje PNR boli odoslané, môžu svoju sťažnosť adresovať CBP, alebo, v prípade, že sťažnosť nebude vyriešená, DHS Chief Privacy Officer, priamo alebo prostredníctvom orgánov členských štátov na ochranu údajov. DHS Privacy Office sa bude urýchlene zaoberať sťažnosťami podanými v orgánoch členských štátov pre ochranu údajov v mene rezidentov spoločenstva, ak je rezident presvedčený, že jeho sťažnosť nebola dostatočne prešetrená CBP alebo DHS Privacy Office. Súladnosť so záväzkami sa stane predmetom výročného spoločného posudku, ktorý vykoná CBP, v spojení s DHS a s tímom pod vedením Komisie.
(23)
V záujme transparentnosti a aby sa zaručila schopnosť príslušných orgánov v členských štátoch zabezpečiť ochranu jednotlivcov v súvislosti so spracovaním ich osobných údajov, je nevyhnutné spresniť výnimočné podmienky, na základe ktorých môže byť opodstatnené pozastavenie toku konkrétnych údajov, bez ohľadu na hľadanie adekvátnej ochrany.
(24)
„Pracovná skupina pre ochranu jednotlivcov“ so zreteľom na spracovanie osobných údajov, ktoré sa uvádza v článku 29 smernice 95/46/ES, vydala stanoviská týkajúce sa úrovne ochrany zabezpečovanej orgánmi Spojených štátov pre údaje cestujúcich, ktoré usmernili Komisiu počas rokovaní s DHS. Komisia tieto stanoviská zohľadnila pri príprave tohto rozhodnutia (4).
(25)
Opatrenia uvedené v tomto rozhodnutí sú v súlade so stanoviskom výboru ustanovenom v článku 31 odsek 1 smernice 95/46/ES,
PRIJALA TOTO ROZHODNUTIE:
Článok 1
Na účely článku 25 odsek 2 smernice 95/46/ES, úrad Spojených štátov Bureau of Customs and Border Protection (CBP) sa považuje za dostatočne zabezpečujúci stupeň ochrany údajov PNR odosielaných zo spoločenstva, týkajúcich sa letov do a zo Spojených štátov, v súlade so záväzkami uvedenými v prílohe.
Článok 2
Toto rozhodnutie sa týka adekvátnosti ochrany zabezpečovanej CBP s cieľom plnenia požiadaviek článku 25 odsek 1 smernice 95/46/ES a neovplyvňuje iné podmienky alebo obmedzenia, ktorými sa implementujú ďalšie ustanovenia danej smernice a ktoré sa vzťahujú na spracovávanie osobných údajov v rámci členských štátov.
Článok 3
1. Bez toho, aby boli dotknuté ich právomoci prijímať opatrenia na zabezpečenie súladu s vnútroštátnymi ustanoveniami prijatými na základe ustanovení iných ako tých, ktoré sú uvedené v článku 25 smernice 95/46/ES, príslušné orgány v členských štátoch môžu uplatňovať svoje existujúce právomoci na pozastavenie toku údajov do CBP na účel ochrany jednotlivcov so zreteľom na spracovanie ich osobných údajov v nasledujúcich prípadoch:
a)
keď príslušný orgán Spojených štátov stanovil, že CBP porušuje uplatniteľné štandardy pre ochranu; alebo
b)
keď existuje značná pravdepodobnosť, že štandardy pre ochranu ustanovené v prílohe sa porušujú, existujú prijateľné podklady, ktoré nasvedčujú tomu, že CBP nezabezpečuje alebo nezabezpečí adekvátne a včasné opatrenia na urovnanie konkrétneho prípadu, pokračujúce odosielanie údajov by spôsobilo bezprostredné riziko vážneho poškodenia osôb, ktorých sa údaje týkajú a keď príslušné orgány v členských štátoch vynaložili prijateľné úsilie v daných podmienkach na sprostredkovanie upozornenia pre CBP a vytvorili priestor na reagovanie.
2. Pozastavenie sa zruší hneď, ako budú zabezpečené štandardy pre ochranu a ako o tom budú upovedomené príslušné orgány dotknutých členských štátov.
Článok 4
1. O prijatí opatrení podľa článku 3 členské štáty bezodkladne informujú Komisiu.
2. Členské štáty a Komisia sa navzájom informujú o všetkých zmenách v štandardoch pre ochranu a o prípadoch, keď aktivity orgánov zodpovedných za zabezpečenie zosúladenia so štandardami pre ochranu pomocou CBP, ako sa uvádza v prílohe, nezabezpečia takéto zosúladenie.
3. Ak informácie zhromaždené podľa článku 3 a podľa odsekov 1 a 2 tohto článku poskytujú dôkazy o tom, že základné princípy, ktoré sú potrebné na zabezpečenie adekvátneho stupňa ochrany fyzických osôb, nie sú už viac dodržiavané, alebo, že ktorýkoľvek orgán zodpovedný za zabezpečenie zosúladenia so štandardami pre ochranu podľa CBP, ako je ustanovené v prílohe, efektívne nevykonáva svoju úlohu, CBP bude o tom informovaný, a ak to bude potrebné, bude sa uplatňovať postup, ktorý je uvedený v článku 31 odsek 2 smernice 95/46/ES, s cieľom zrušenia alebo pozastavenia účinnosti tohto rozhodnutia.
Článok 5
Uplatňovanie tohto rozhodnutia sa bude monitorovať a akékoľvek relevantné zistenia budú oznámené výboru ustanovenému článkom 31 smernice 95/46/ES vrátane akéhokoľvek dôkazu, ktorý by mohol ovplyvniť zistenie v článku 1 tohto rozhodnutia o tom, že ochrana osobných údajov uvedených v PNR cestujúcich lietadlom odoslaných CBP je adekvátna v zmysle článku 25 smernice 95/46/ES.
Článok 6
Členské štáty prijmú všetky potrebné opatrenia na dosiahnutie súladu s týmto rozhodnutím v priebehu štyroch mesiacov od dátumu jeho oznámenia.
Článok 7
Platnosť tohto rozhodnutia uplynie tri roky a šesť mesiacov po dátume jeho oznámenia, s výnimkou predĺženia jeho platnosti v súlade s postupom ustanoveným v článku 31 odsek 2 smernice 95/46/ES.
Článok 8
Toto rozhodnutie je adresované členským štátom.
V Bruseli, 14. mája 2004