ROZHODNUTÍ KOMISE
ze dne 14. května 2004
o odpovídající úrovni ochrany osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají Úřadu USA pro cla a ochranu hranic
(oznámeno pod číslem K(2004) 1914)
(Text s významem pro EHP)
(2004/535/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 této směrnice,
vzhledem k těmto důvodům:
(1)
Směrnice 95/46/ES vyžaduje, aby členské státy stanovily, že k předávání osobních údajů do třetí země může dojít pouze tehdy, pokud dotyčná třetí země zajistí odpovídající úroveň ochrany a pokud jsou před předáním údajů dodrženy právní předpisy členských států provádějící ostatní ustanovení uvedené směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů vyhodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů se zvláštním přihlédnutím k řadě skutečností, které pro ně mají význam a jsou vyjmenovány v čl. 25 odst. 2 uvedené směrnice.
(4)
V rámci letecké dopravy se „záznamem o knihování cestujícího“ (Passenger Name Record - dále jen „PNR“) rozumí záznam o cestovních požadavcích každého cestujícího obsahující veškeré informace, jež jsou nezbytné ke zpracování a kontrole rezervací prováděné rezervačními a zúčastněnými leteckými společnostmi. Pro účely tohoto rozhodnutí zahrnuje výraz „cestující“ členy posádky. „Rezervační leteckou společností“ se rozumí letecká společnost, u níž cestující provedl původní rezervaci nebo dodatečné rezervace po zahájení své cesty. „Zúčastněnou leteckou společností“ se rozumí kterákoli letecká společnost, u níž rezervační letecká společnost požádala o zajištění místa pro cestujícího na jednom nebo více letech.
(5)
Úřad USA pro cla a ochranu hranic (United States Bureau of Customs and Border Protection - dále jen „CBP“) Ministerstva pro vnitřní bezpečnost (Department of Homeland Security - dále jen „DHS“) vyžaduje, aby mu každý letecký dopravce provozující mezinárodní osobní lety z USA nebo do USA poskytl elektronický přístup k PNR v rozsahu, v němž je tento PNR získán a obsažen v počítačovém rezervačním systému daného leteckého dopravce.
(6)
Požadavky na osobní údaje obsažené v PNR leteckého cestujícího, který má být předán CBP, vyplývají ze zákona, který USA přijaly v listopadu 2001 (2), a z prováděcích předpisů, které CBP přijal podle daného zákona (3).
(7)
Dotyčné právní předpisy USA se týkají posílení bezpečnosti a podmínek, za nichž mohou fyzické osoby vstupovat do země a opouštět ji, tedy záležitostí, o nichž mají USA pravomoc rozhodovat v rámci uplatnění své svrchovanosti. Kromě toho nejsou stanovené požadavky neslučitelné s jakýmikoli mezinárodními závazky, které USA přijaly. USA jsou demokratickým právním státem se silnou tradicí občanských svobod. O legitimitě jejich zákonodárného procesu a síle a nezávislosti jejich soudní moci není pochyb. Další silnou zárukou proti porušování občanských svobod je svoboda tisku.
(8)
Společenství je plně odhodláno podporovat USA v boji proti terorismu v mezích uložených právem Společenství. Právo Společenství vyžaduje dosažení rovnováhy mezi bezpečnostními požadavky a požadavky na soukromí. Například článek 13 směrnice 95/46/ES stanoví, že členské státy mohou přijmout legislativní opatření s cílem omezit některé požadavky uvedené směrnice v rozsahu nezbytném k zajištění bezpečnosti státu, obrany, veřejné bezpečnosti, předcházení trestným činům a jejich vyšetřování, odhalování a stíhání.
(9)
Do předávání dotyčných údajů jsou zapojeni zvláštní správci, jmenovitě letecké společnosti, které provozují lety mezi Společenstvím a USA, a pouze jeden příjemce v USA, jmenovitě CBP.
(10)
Jakékoli ujednání týkající se vytvoření právního rámce pro předávání PNR do USA, zejména prostřednictvím tohoto rozhodnutí, by mělo být časově omezeno. Bylo proto dohodnuto období tři a půl roku. Během tohoto období může dojít k výrazné změně situace a Společenství i USA se shodují, že bude nutné ujednání přezkoumat.
(11)
Zpracování osobních údajů obsažených v PNR leteckých cestujících úřadem CBP se řídí podmínkami stanovenými v Závazném prohlášení Úřadu pro cla a ochranu hranic Ministerstva pro vnitřní bezpečnost (CBP) ze dne 11. května 2004 (dále jen „závazné prohlášení“) a ve vnitrostátních právních předpisech USA v rozsahu uvedeném v závazném prohlášení.
(12)
Ve vnitrostátním právu USA má v této souvislosti význam zákon o svobodě informací (Freedom of Information Act - FOIA) v míře, v níž upravuje podmínky, za nichž může CBP odmítnout žádosti o zpřístupnění a zachovat důvěrnost PNR. Uvedený zákon upravuje poskytování PNR osobě, jíž se týká, což je úzce spojeno s právem subjektu údajů na přístup k údajům. Vztahuje se bez rozdílu na občany USA i cizince.
(13)
Ustanovení závazného prohlášení budou nebo již jsou v USA začleněna na základě jeho odstavce 44 do zákonů, nařízení, směrnic nebo jiných politických nástrojů, a proto budou mít nebo již mají různé stupně právní síly. Úplné znění závazného prohlášení bude na základě pravomoci DHS zveřejněno ve Federálním rejstříku. Jako takové představuje ze strany DHS vážný a dobře uvážený politický závazek a jeho plnění bude podléhat společnému přezkumu ze strany USA a Společenství. Proti neplnění by bylo možné postupovat příslušnými právními, administrativními a politickými cestami a v případě přetrvávajícího neplnění by došlo k pozastavení účinků tohoto rozhodnutí.
(14)
Normy, podle nichž bude CBP zpracovávat údaje obsažené v PNR cestujících na základě právních předpisů USA a závazného prohlášení, obsahují základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob.
(15)
Pokud jde o zásadu účelového omezení, budou osobní údaje leteckých cestujících obsažené v PNR předaném CBP zpracovány pro zvláštní účel a dále využity nebo sděleny pouze v tom rozsahu, který není neslučitelný s účely předání. Obzvláště pak budou údaje obsažené v PNR využity výhradně pro účely předcházení a potírání terorismu a související trestné činnosti, jiných závažných trestných činů nadnárodní povahy včetně organizovaného zločinu a útěku před zatykačem nebo soudní vazbou pro tyto trestné činy.
(16)
Pokud jde o zásadu kvality údajů a přiměřenosti, kterou je třeba vzít v úvahu ve vztahu k závažným důvodům veřejného zájmu, kvůli nimž se údaje PNR předávají, nebude CBP následně měnit údaje obsažené v PNR, který mu byl poskytnut. Bude se předávat maximálně 34 kategorií údajů PNR a orgány USA budou konzultovat Komisi dříve, než se rozhodnou přidat jakékoli nové požadavky. Dodatečné osobní informace, které budou vyhledávány v důsledku údajů obsažených v PNR, budou získávány z mimovládních zdrojů pouze zákonnými cestami. Obecně platí, že PNR bude po nejvýše třech letech a šesti měsících vymazán s výjimkou údajů, které byly vyhledány z důvodů zvláštního vyšetřování nebo jinak ručně vyhledány.
(17)
Pokud jde o zásadu transparentnosti, poskytne CBP cestujícím informace o účelu předávání a zpracování, o totožnosti správce údajů ve třetí zemi a další informace.
(18)
Pokud jde o zásadu bezpečnosti, přijme CBP taková technická a organizační opatření, která jsou přiměřená rizikům, jež obnáší zpracování.
(19)
Jsou uznána práva na přístup a opravu v té podobě, že si subjekt údajů může vyžádat kopii údajů PNR a požadovat opravu nepřesných údajů. Předpokládané výjimky jsou vesměs srovnatelné s omezeními, která mohou členské státy zavést podle článku 13 směrnice 95/46/ES.
(20)
Údaje lze v jednotlivých případech dále předat jiným vládním orgánům odpovědným za boj proti terorismu nebo za výkon veřejné moci, včetně orgánů zahraničních vlád, pro účely, které odpovídají účelům vymezeným v ustanovení o účelovém omezení. Údaje mohou být také předány z důvodů ochrany životně důležitých zájmů subjektu údajů nebo jiných osob, zejména pokud jde o závažná zdravotní rizika nebo o zájmy v jakémkoli trestním soudním řízení, nebo je-li tak jinak vyžadováno ze zákona. Přijímající úřady jsou podle výslovných podmínek zpřístupnění povinny využít údaje pouze k těmto účelům a nepředávat údaje dále bez souhlasu CBP. Do databáze CBP nemá přímý elektronický přístup žádný jiný zahraniční, federální, státní nebo místní úřad. CBP odmítne veřejné zpřístupnění PNR na základě výjimek z příslušných ustanovení zákona o svobodě informací.
(21)
CBP nevyužije citlivé údaje ve smyslu článku 8 směrnice 95/46/ES a zavazuje se, že dokud nebude fungovat systém filtrů na vyřazení takových údajů z PNR předávaných do USA, zavede prostředky na jejich vymazání a nebude je využívat.
(22)
Pokud jde o mechanismus, který má zajistit dodržování těchto zásad ze strany CBP, je zajištěno školení a informování zaměstnanců CBP a jsou stanoveny postihy pro jednotlivé zaměstnance. Zachování soukromí ze strany CBP bude obecně pod kontrolou vedoucího Úřadu na ochranu soukromí DHS (DHS Chief Privacy Officer), který je sice úředníkem DHS, ale je do velké míry organizačně samostatný a musí každý rok předkládat zprávu Kongresu. Osoby, jejichž údaje PNR byly předány, mohou zasílat své stížnosti CBP nebo, pokud jim nebude vyhověno, vedoucímu Úřadu na ochranu soukromí DHS, a to buď přímo, nebo prostřednictvím úřadů na ochranu údajů v členských státech. Úřad pro ochranu soukromí DHS (DHS Privacy Office) bude urychleně vyřizovat stížnosti, které mu předají úřady na ochranu údajů v členských státech jménem osob, které mají pobyt ve Společenství, pokud se tyto osoby domnívají, že CBP nebo Úřad na ochranu soukromí DHS jejich stížnost nevyřídily uspokojivě. Dodržování závazného prohlášení bude společně přezkoumáno CBP spolu s DHS a skupinou vedenou Komisí.
(23)
V zájmu transparentnosti a s cílem zachovat schopnost příslušných orgánů v členských státech zajistit ochranu jednotlivců, pokud jde o zpracování jejich osobních údajů, je nutné upřesnit výjimečné okolnosti, za nichž je možné odůvodnit pozastavení konkrétních toků údajů nezávisle na tom, zda úroveň ochrany byla shledána jako odpovídající.
(24)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, která byla zřízena podle článku 29 směrnice 95/46/ES, vydala stanoviska o úrovni ochrany poskytované údajům cestujících ze strany orgánů USA, jimiž se Komise řídila při jednání s DHS. Komise vzala tato stanoviska na vědomí při přípravě tohoto rozhodnutí (4).
(25)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Pro účely čl. 25 odst. 2 směrnice 95/46/ES se má za to, že Úřad USA pro cla a ochranu hranic (United States’ Bureau of Customs and Border Protection - dále jen „CBP“) zajišťuje odpovídající úroveň ochrany údajů PNR předávaných ze Společenství v souvislosti s lety do USA nebo z USA v souladu se závazným prohlášením uvedeným v příloze.
Článek 2
Toto rozhodnutí se týká odpovídající úrovně ochrany poskytované úřadem CBP v souvislosti s plněním požadavků čl. 25 odst. 1 směrnice 95/46/ES a nemá vliv na ostatní podmínky nebo omezení, jimiž se provádějí jiná ustanovení uvedené směrnice související se zpracováním osobních údajů v členských státech.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států činit kroky na zajištění souladu s vnitrostátními předpisy přijatými podle jiných ustanovení než článku 25 směrnice 95/46/ES, mohou příslušné orgány členských států využít svou stávající pravomoc pozastavit tok údajů do CBP s cílem ochránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v následujících případech:
a)
pokud příslušný orgán USA stanovil, že CBP porušuje platné normy ochrany, nebo
b)
pokud existuje vysoká pravděpodobnost, že jsou porušovány normy ochrany stanovené v příloze, existují rozumné důvody k domněnce, že CBP nečiní nebo neučiní přiměřené a včasné kroky na vyřešení daného případu, pokračující předávání by vytvořilo bezprostřední nebezpečí vážné újmy subjektu údajů a příslušné orgány členského státu vynaložily v dané situaci rozumné úsilí na doručení upozornění CBP a poskytly mu příležitost k reakci.
2. Pozastavení skončí, jakmile bude zajištěno dodržování norem ochrany a toto bude oznámeno příslušným orgánům dotyčného členského státu.
Článek 4
1. Členské státy neprodleně informují Komisi, když přijmou opatření podle článku 3.
2. Členské státy a Komise se vzájemně informují o jakýchkoli změnách norem ochrany a o případech, v nichž činnost odpovědných orgánů nezajistila dodržování norem ochrany ze strany CBP v souladu s přílohou.
3. Jestliže informace získané podle článku 3 a podle odstavců 1 a 2 tohoto článku poskytnou skutečnosti prokazující, že přestaly být dodržovány základní zásady nutné pro odpovídající úroveň ochrany fyzických osob nebo že jakýkoli orgán odpovědný za zajišťování dodržování norem ochrany ze strany CBP v souladu s přílohou neplní účinně svou úlohu, bude o tom CBP informován a v případě potřeby se použije postup uvedený v čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit nebo pozastavit toto rozhodnutí.
Článek 5
Fungování tohoto rozhodnutí bude sledováno a jakákoli související zjištění budou oznámena výboru zřízenému podle článku 31 směrnice 95/46/ES včetně jakýchkoli průkazných skutečností, které by mohly ovlivnit závěr uvedený v článku 1 tohoto rozhodnutí, podle něhož je ochrana osobních údajů obsažených v PNR leteckých cestujících, které se předávají CPB, odpovídající ve smyslu článku 25 směrnice 95/46/ES.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do čtyř měsíců od data jeho oznámení.
Článek 7
Použitelnost tohoto rozhodnutí skončí tři roky a šest měsíců po datu jeho oznámení, pokud nebude prodlouženo v souladu s postupem stanoveným v čl. 31 odst. 2 směrnice 95/46/ES.
Článek 8
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 14. května 2004.
BESCHIKKING VAN DE COMMISSIE
van 14 mei 2004
betreffende de passende bescherming van persoonsgegevens in het Passenger Name Record van vliegtuigpassagiers die aan het Bureau of Customs and Border Protection van de Verenigde Staten worden doorgegeven
(Kennisgeving geschied onder nummer C(2004) 1914)
(Voor de EER relevante tekst)
(2004/535/EG)
DE COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN,
Gelet op het Verdrag tot oprichting van de Europese Gemeenschap,
Gelet op Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1), inzonderheid op artikel 25, lid 6,
Overwegende hetgeen volgt:
(1)
Overeenkomstig Richtlijn 95/46/EG moeten de lidstaten bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en vóór de doorgifte wordt voldaan aan de wetgeving van de lidstaten ter uitvoering van de andere bepalingen van de richtlijn.
(2)
De Commissie kan vaststellen dat een derde land waarborgen voor een passend beschermingsniveau biedt. In dat geval kunnen persoonsgegevens zonder aanvullende garanties door de lidstaten worden doorgegeven.
(3)
Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden waarin een gegevensdoorgifte of een categorie gegevensdoorgiften plaatsvindt, waarbij in het bijzonder rekening moet worden gehouden met een aantal elementen die van belang zijn voor de doorgifte, welke in artikel 25, lid 2, van de richtlijn zijn opgenomen.
(4)
In het luchtverkeer is het Passenger Name Record (PNR) een bestand met de reisgegevens van elke passagier dat alle informatie bevat die de boekende en de deelnemende luchtvaartmaatschappijen nodig hebben om reserveringen te kunnen verwerken en controleren. Voor de toepassing van deze beschikking wordt onder „passagier” en „passagiers” tevens bemanningsleden verstaan. Onder „boekende luchtvaartmaatschappij” wordt verstaan de luchtvaartmaatschappij waarbij de passagier zijn reservering heeft geboekt of waarbij bijkomende reserveringen zijn geboekt nadat de reis is begonnen. Onder „deelnemende luchtvaartmaatschappijen” wordt verstaan iedere luchtvaartmaatschappij waarbij de boekende luchtvaartmaatschappij om een plaats op een of meer van haar vluchten heeft verzocht.
(5)
Het Bureau of Customs and Border Protection (CBP) van het Department of Homeland Security (DHS) van de Verenigde Staten verlangt van elke luchtvaartmaatschappij die passagiersvluchten van en naar de Verenigde Staten verricht, elektronische toegang tot het PNR, voorzover PNR-gegevens worden vergaard en in het geautomatiseerde boekingssysteem van de luchtvaartmaatschappij worden opgeslagen.
(6)
De vereisten inzake de doorgifte van persoonsgegevens uit het PNR van vliegtuigpassagiers aan het CBP zijn gebaseerd op een wet die door de Verenigde Staten in november 2001 (2) is goedgekeurd, en op uitvoeringsvoorschriften (3) die krachtens die wet door het CBP zijn vastgesteld.
(7)
De desbetreffende wetgeving van de Verenigde Staten heeft betrekking op een grotere veiligheid en op de voorwaarden waaronder personen het land mogen binnenkomen en verlaten, aangelegenheden waarover de Verenigde Staten binnen het eigen rechtsgebied autonoom besluiten kunnen nemen. De vastgestelde bepalingen zijn overigens niet in strijd met door de Verenigde Staten aangegane internationale verplichtingen. De Verenigde Staten zijn een democratisch land en een rechtsstaat met een lange traditie van burgerlijke vrijheden. De legitimiteit van de wetgevingsprocedures en de capaciteit en onafhankelijkheid van het gerechtelijk apparaat in de Verenigde Staten staan niet ter discussie. Daarnaast is ook de persvrijheid een sterke garantie tegen elk misbruik van de burgerlijke vrijheden.
(8)
De Gemeenschap steunt de Verenigde Staten ten volle in de strijd tegen het terrorisme binnen de grenzen van het Gemeenschapsrecht. Het Gemeenschapsrecht maakt het mogelijk een noodzakelijk evenwicht tot stand te brengen tussen veiligheidsbelangen en belangen welke verband houden met de persoonlijke levenssfeer. Zo bepaalt bijvoorbeeld artikel 13 van Richtlijn 95/46/EG dat de lidstaten wettelijke maatregelen kunnen nemen om de reikwijdte van bepaalde voorschriften van die richtlijn te beperken, indien dit noodzakelijk is om redenen van nationale veiligheid, defensie, openbare veiligheid en met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten.
(9)
De bedoelde doorgifte van gegevens betreft specifieke voor de verwerking verantwoordelijke instanties, namelijk luchtvaartmaatschappijen die tussen de Gemeenschap en de Verenigde Staten vliegen, en slechts één ontvanger in de Verenigde Staten, te weten het CBP.
(10)
Elke regeling die een wettelijk kader creëert voor de doorgifte van PNR-gegevens naar de Verenigde Staten, met name door middel van deze beschikking, moet een beperkte looptijd hebben. Er is een periode van drie en een half jaar overeengekomen. Tijdens deze periode kan de situatie ingrijpend veranderen en de Gemeenschap en de Verenigde Staten zijn het erover eens dat de regeling zal moeten worden herzien.
(11)
Voor de verwerking door het CBP van de doorgegeven persoonsgegevens uit het PNR van vliegtuigpassagiers gelden de voorwaarden die zijn vastgesteld in de verbintenissen van het Bureau of Customs and Border Protection (CBP) van het Department of Homeland Security van 11 mei 2004, (hierna „de verbintenissen” genoemd) en in de interne wetgeving van de Verenigde Staten waarnaar in die verbintenissen wordt verwezen.
(12)
Wat de interne wetgeving van de Verenigde Staten betreft, is de Freedom of Information Act (FOIA) in dit verband in zoverre van belang dat daarin de voorwaarden zijn vastgesteld waaronder het CBP verzoeken om openbaarmaking kan weigeren en aldus het vertrouwelijke karakter van het PNR kan garanderen. Deze wet regelt de openbaarmaking van het PNR aan de belanghebbende, wat nauw aansluit bij het recht van toegang van de betrokkene. De FOIA is zonder onderscheid van toepassing op onderdanen en niet-onderdanen van de Verenigde Staten.
(13)
De verbintenissen zijn of worden, overeenkomstig punt 44 ervan, in de Verenigde Staten in wetten, verordeningen, richtsnoeren of andere wetsteksten opgenomen en zullen zodoende in verschillende mate rechtskracht krijgen. De verbintenissen zullen onder verantwoordelijkheid van het DHS volledig in het Federal Register worden gepubliceerd. Deze verbintenissen getuigen van een serieus en weloverwogen politiek engagement van het DHS en de naleving ervan zal door de Gemeenschap en de Verenigde Staten gezamenlijk worden geëvalueerd. Niet-naleving ervan kan eventueel worden gewraakt met wettelijke, bestuursrechtelijke en politieke middelen; bij voortdurende niet-naleving kan de werking van deze beschikking worden opgeschort.
(14)
De normen die het CBP bij het verwerken van PNR-gegevens op basis van de VS-wetgeving en de verbintenissen zal hanteren, voldoen aan de vereiste grondbeginselen voor een passend beschermingsniveau voor natuurlijke personen.
(15)
Wat het beginsel van de gebruiksbeperking betreft, zullen de passagiersgegevens uit het PNR die aan het CBP worden doorgegeven, voor een specifiek doel worden gebruikt en daarna alleen nog worden aangewend of medegedeeld voorzover dit niet onverenigbaar is met het doel van de doorgifte. Meer bepaald zullen PNR gegevens uitsluitend worden gebruikt ter voorkoming en bestrijding van terrorisme en aanverwante misdrijven, andere zware misdrijven, waaronder georganiseerde misdaad, die van grensoverschrijdende aard zijn, alsook het ontvluchten van een aanhoudingsbevel of arrestatie wegens die misdrijven.
(16)
Wat het beginsel van gegevenskwaliteit en het evenredigheidsbeginsel betreft, die moeten worden gezien in het licht van de belangrijke redenen van openbaar belang waarom PNR-gegevens worden doorgegeven, geldt dat deze gegevens na doorgifte aan het CBP door deze dienst achteraf niet zullen worden gewijzigd. Maximaal 34 PNR-categorieën van gegevens zullen aan de VS-autoriteiten worden doorgegeven en deze zullen de Commissie raadplegen alvorens nieuwe vereisten toe te voegen. Aanvullende persoonsgegevens waarom als rechtstreeks gevolg van PNR-gegevens wordt verzocht, zullen uit andere bronnen dan de overheid alleen langs legale weg worden verkregen. Over het algemeen zullen de PNR-gegevens na een periode van maximaal drie jaar en zes maanden worden vernietigd, met uitzondering van gegevens die voor specifiek onderzoek zijn gebruikt of anderszins manueel zijn geraadpleegd.
(17)
Wat het transparantiebeginsel betreft, zal het CBP de reizigers van het doel van de doorgifte en verwerking van de gegevens en van de identiteit van de voor de verwerking verantwoordelijke instantie in het derde land op de hoogte stellen en hun ook andere informatie verstrekken.
(18)
Wat het beveiligingsbeginsel betreft, neemt het CBP technische en organisatorische beveiligingsmaatregelen die in verhouding staan tot de aan de verwerking van de gegevens inherente risico’s.
(19)
Het recht op toegang tot en rectificatie van de gegevens wordt erkend, in die zin dat de betrokkene een kopie van de PNR-gegevens kan aanvragen en onjuiste gegevens kan laten corrigeren. De uitzonderingen waarin is voorzien, zijn grotendeels vergelijkbaar met de beperkingen die door de lidstaten overeenkomstig artikel 13 van Richtlijn 95/46/EG kunnen worden opgelegd.
(20)
Verdere doorgifte naar andere overheidsinstanties, inclusief buitenlandse overheidsinstanties, met taken op het gebied van terrorismebestrijding of wetshandhaving geschiedt alleen per geval, voor doeleinden die in de verklaring over de beperking van de gebruiksdoeleinden zijn aangegeven. Doorgifte kan ook plaatsvinden ter bescherming van een vitaal belang van de betrokkene of van andere personen, meer bepaald wat betreft belangrijke gezondheidsrisico’s, of bij strafrechtelijke vervolging van misdrijven, of in andere bij wet vastgestelde gevallen. Deze instanties zijn expliciet gebonden door de voorwaarden voor openbaarmaking; zij mogen de gegevens alleen voor het beoogde doel gebruiken en geen gegevens verder doorgeven zonder toestemming van het CBP. Andere buitenlandse, federale, staats-, of lokale instanties dan het CBP hebben geen rechtstreekse elektronische toegang tot de PNR-gegevens via de CPB-gegevensbanken. De openbaarmaking van PNR-gegevens zal door het CBP worden geweigerd op grond van ontheffingen van de desbetreffende bepalingen van de FOIA.
(21)
Het CBP maakt geen gebruik van gevoelige gegevens in de zin van artikel 8 van Richtlijn 95/46/EG en verbindt zich ertoe, zolang er geen filtreersysteem bestaat om de doorgifte van dergelijke gegevens uit het PNR naar de Verenigde Staten te beletten, maatregelen te nemen om deze gegevens te vernietigen en, zolang dit niet gebeurd is, er geen gebruik van te maken.
(22)
Wat betreft de handhavingsmechanismen om de naleving van deze beginselen door het CBP te waarborgen, is voorzien in opleiding en voorlichting van het personeel van deze dienst, alsook in de mogelijkheid om individuele personeelsleden te bestraffen. Op de eerbiediging van de privacy door het CPB in het algemeen wordt toegezien door de Chief Privacy Officer van het DHS, die ambtenaar is van het DHS, maar over een ruime organisatorische autonomie beschikt en jaarlijks verslag moet uitbrengen aan het Congres. Personen van wie PNR-gegevens zijn doorgegeven, kunnen bij het CPB, of, als dat niets oplevert, bij de Chief Privacy Officer van het DHS een klacht indienen, hetzij rechtstreeks, hetzij via de gegevensbeschermingsautoriteiten in de lidstaten. Klachten die door de gegevensbeschermingsautoriteiten van de lidstaten aan het DHS Privacy Office worden voorgelegd namens ingezetenen van de Gemeenschap die ontevreden zijn over de afhandeling van de klacht door het CBP of het DHS Privacy Office, worden onverwijld door het Privacy Office behandeld. De naleving van de verbintenissen zal elk jaar door het CBP in samenwerking met het DHS, en een team onder leiding van de Commissie gemeenschappelijk worden geëvalueerd.
(23)
In het belang van de transparantie en om de bevoegde autoriteiten in de lidstaten in staat te stellen de bescherming van personen in verband met de verwerking van hun persoonsgegevens te waarborgen, is het noodzakelijk nader te regelen welke uitzonderlijke omstandigheden tot een opschorting van de doorgifte van gegevens kunnen leiden, ook al is er een passend beschermingsniveau vastgesteld.
(24)
De bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens heeft adviezen gegeven over het beschermingsniveau dat door de VS-autoriteiten voor passagiersgegevens wordt geboden, welke voor de Commissie als leidraad hebben gediend tijdens haar onderhandelingen met de DHS. De Commissie heeft nota genomen van deze adviezen (4).
(25)
De in deze beschikking vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31, lid 1, van Richtlijn 95/46/EG ingestelde comité,
HEEFT DE VOLGENDE BESCHIKKING GEGEVEN:
Artikel 1
Voor de toepassing van artikel 25, lid 2, van Richtlijn 95/46/EG wordt het Bureau of Customs and Border Protection van de Verenigde Staten, hierna „CBP” genoemd, geacht een passend beschermingsniveau te bieden voor PNR-gegevens die vanuit de Gemeenschap met betrekking tot vluchten van en naar de Verenigde Staten overeenkomstig de verbintenissen in de bijlage worden doorgegeven.
Artikel 2
Deze beschikking betreft het passende karakter van de bescherming die door het CBP wordt geboden om aan de vereisten van artikel 25, lid 1, van Richtlijn 95/46/EG te voldoen en laat andere voorwaarden of beperkingen tot uitvoering van andere bepalingen van die richtlijn die op de verwerking van persoonsgegevens in de lidstaten betrekking hebben, onverlet.
Artikel 3
1. Onverminderd hun bevoegdheden om stappen te ondernemen ter naleving van nationale bepalingen die zijn vastgesteld ingevolge andere bepalingen dan artikel 25 van Richtlijn 95/46/EG, kunnen de bevoegde autoriteiten in de lidstaten gebruikmaken van hun bestaande bevoegdheden om de overdracht van gegevens aan het CBP op te schorten, teneinde personen bij de verwerking van hun persoonsgegevens te beschermen in de volgende gevallen:
a)
wanneer een bevoegde VS-autoriteit heeft vastgesteld dat het CBP in strijd met de toepasselijke normen voor gegevensbescherming handelt, of
b)
wanneer het zeer waarschijnlijk is dat niet aan de in de bijlage vastgestelde normen voor gegevensbescherming wordt voldaan, er gegronde redenen zijn om aan te nemen dat het CBP niet tijdig passende maatregelen neemt of zal nemen om het desbetreffende probleem op te lossen, de voortzetting van de doorgifte een dreigend gevaar voor ernstige schade voor de betrokkene inhoudt en de bevoegde autoriteiten in de lidstaat naar de omstandigheden in redelijkheid inspanningen hebben geleverd om het CBP in kennis te stellen en de gelegenheid te geven te reageren.
2. De opschorting eindigt zodra is gewaarborgd dat de beschermingsnormen worden nageleefd en de bevoegde autoriteiten van de betrokken lidstaten hiervan in kennis zijn gesteld.
Artikel 4
1. De lidstaten stellen de Commissie onverwijld in kennis wanneer op grond van artikel 3 maatregelen worden genomen.
2. De lidstaten en de Commissie stellen elkaar in kennis van iedere wijziging in de normen voor gegevensbescherming en van de gevallen waarin de instanties die verantwoordelijk zijn voor de naleving door het CBP van de in de bijlage vastgestelde beschermingsnormen verzuimen deze naleving te garanderen.
3. Wanneer uit de overeenkomstig artikel 3 en de leden 1 en 2 van dit artikel verzamelde informatie mocht blijken dat niet langer aan de vereiste grondbeginselen voor een passend beschermingsniveau voor natuurlijke personen wordt voldaan, of dat een instantie die verantwoordelijk is voor de naleving door het CBP van de in de bijlage vastgestelde beschermingsnormen haar taak niet naar behoren vervult, wordt het CBP hiervan in kennis gesteld en wordt, indien nodig, de in artikel 31, lid 2, van Richtlijn 95/46/EG bedoelde procedure toegepast om deze beschikking in te trekken of op te schorten.
Artikel 5
De werking van deze beschikking wordt geëvalueerd en alle relevante bevindingen worden medegedeeld aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité, met inbegrip van ieder bewijs dat van invloed kan zijn op de in artikel 1 van deze beschikking vervatte vaststelling dat de bescherming van in het PNR van vliegtuigpassagiers voorkomende persoonsgegevens die aan het CBP worden doorgegeven, passend is in de zin van artikel 25 van Richtlijn 95/46/EG.
Artikel 6
De lidstaten nemen alle noodzakelijke maatregelen om binnen vier maanden na kennisgeving van deze beschikking aan deze beschikking te voldoen.
Artikel 7
Deze beschikking komt drie jaar en zes maanden na de datum van kennisgeving ervan te vervallen, tenzij zij overeenkomstig de in artikel 31, lid 2, van Richtlijn 95/46/EG bedoelde procedure wordt verlengd.
Artikel 8
Deze beschikking is gericht tot de lidstaten.
Gedaan te Brussel, 14 mei 2004.