A BIZOTTSÁG HATÁROZATA
(2004. május 14.)
az Egyesült Államok Vámügyi és Határvédelmi Irodája rendelkezésére bocsátott, a légiutasok utasnyilvántartási adatállományában tárolt személyes adatok megfelelő védelméről
(Az értesítés a B(2004) 1914., számú dokumentummal történt)
(EGT vonatkozású szöveg)
(2004/535/EK)
AZ EURÓPAI KÖZÖSSÉGEK BIZOTTSÁGA,
tekintettel az Európai Közösséget létrehozó szerződésre,
tekintettel a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre (1) és különösen annak 25. cikke (6) bekezdésére,
mivel:
(1)
A 95/46/EK irányelv értelmében a tagállamoknak rendelkezniük kell arról, hogy a személyes adatok csak akkor továbbíthatók harmadik országba, ha az adott harmadik ország megfelelő védelmi szintet tud biztosítani, és csak akkor, amennyiben az ezen irányelv egyéb rendelkezéseit végrehajtó tagállami jogszabályok már az adattovábbítás előtt megfelelnek az irányelvnek.
(2)
A Bizottság megállapíthatja, hogy egy harmadik ország megfelelő védelmi szintet biztosít. Ebben az esetben a személyes adatokat a tagállamoktól továbbítani lehet anélkül, hogy további garanciákra lenne szükség.
(3)
A 95/46/EK irányelv értelmében az adatvédelem szintjét az adattovábbítási művelet vagy adattovábbítási műveletsorozat feltételeinek figyelembevételével kell értékelni; továbbá különös figyelmet kell fordítani a 25. cikk (2) bekezdésében felsorolt számos, az adattovábbítás szempontjából fontos elemre.
(4)
A légiközlekedés keretében a Passenger Name Record (PNR) (utasnyilvántartási adatállomány) egy olyan adatállományt jelent, mely az egyes utasok az utazáshoz kötelezően megadandó adatait tartalmazza, és amely minden olyan információt magában foglal, melyek ahhoz szükségesek, hogy a jegykiállító és résztvevő légitársaságok elvégezhessék és ellenőrizhessék a foglalásokat. E határozat alkalmazásában az „utas” és az „utasok” kifejezés a személyzet tagjait is magában foglalja. „Jegykiállító légitársaság” az olyan légitársaságokat jelenti, melyeknél az utas eredeti foglalását leadta vagy amelyekhez további foglalások érkeztek be az utazás megkezdése után. A „résztvevő légitársaság” olyan légitársaságot jelöl, melynél a jegykiállító légitársaság egy vagy több járatára az utasa számára helyet foglalt.
(5)
Minden egyes olyan légifuvarozó, aki nem belföldi légiközlekedésben az Egyesült Államokból érkező vagy oda tartó utasszállító járat működtetésében érdekelt, köteles a Departments of Homeland Security (DHS) (Belbiztonsági Minisztérium) alá tartozó United States Bureau of Customs and Border Protection (CBP) (Egyesült Államok Vámügyi és Határvédelmi Irodája) számára elektronikus hozzáférést biztosítani a PNR-hez olyan mértékben, ahogy az a légifuvarozók automatizált foglalási rendszerében összegyűjtésre került.
(6)
A CBP részére továbbítandó, a légiutasok, a PNR-ben szereplő személyes adataival kapcsolatos kötelezően megadandó információk az Egyesült Államok által 2001 novemberében elfogadott törvényben (2), illetve a CBP által az alapján elfogadott végrehajtási rendelkezéseken alapul (3).
(7)
E jogszabályok a biztonság megerősítését, valamint a személyek ki- és beléptetésének feltételeit érintik - két olyan kérdés, amelyben az Egyesült Államoknak szuverén joga van joghatóságán belül dönteni. A megállapított követelmények továbbá nem összeférhetetlenek egyetlen, az Egyesült Államok által vállalt nemzetközi kötelezettségvállalással sem. Az Egyesült Államok egy olyan demokratikus ország, mely a jogállamiság elve, illetve az emberi szabadságjogokon alapuló szilárd tradíció alapján működik. Az Egyesült Államok jogalkotási folyamatának legitimitása és bíróságának szilárdsága és függetlensége nem kérdéses. A sajtószabadság pedig további garanciát nyújt az emberi szabadságjogok megsértése ellen.
(8)
A Közösség teljes mértékben támogatja az Egyesült Államok terrorizmus elleni küzdelmét a közösségi jog által megadott határokon belül. A közösségi jog előírja a biztonsági kérdések és a magánélet tiszteletben tartásával kapcsolatos kérdések közötti szükséges egyensúly megteremtését. Például a 95/46/EK irányelv 13. cikke előírja, hogy a tagállamok, amennyiben szükséges, jogszabályokat fogadhatnak el az irányelv által támasztott egyes követelmények körének korlátozására, nemzetbiztonsági, honvédelmi, közbiztonsági okokból kifolyólag, valamint bűncselekmények megelőzése, vizsgálata, felderítése és az ezekkel kapcsolatos eljárások lefolytatása érdekében.
(9)
A szóban forgó adattovábbításban részt vesznek bizonyos adatkezelők, nevezetesen azok a légitársaságok, melyek járatokat üzemeltetnek a Közösség és az Egyesült Államok között, valamint az Egyesült Államok területén a CBP, mint annak kizárólagos címzettje.
(10)
Bármely olyan intézkedést, mely jogi keretet határoz meg - különösen e határozat által - a PNR-adatok az Egyesült Államok részére való továbbításáról, határidőhöz kell kötni. A korlátozás három és fél éves időszakban lett megállapítva. Miután ezen időszak alatt a körülmények jelentősen változhatnak, a Bizottság és az Egyesült Államok egyetértenek abban, hogy szükség lesz az intézkedések felülvizsgálatára.
(11)
A CBP, a részére továbbított, a légiutasok PNR-adatállományában szereplő személyes adatok feldolgozását a Department of Homeland Security, Bureau of Customs and Border Protection (CBP) 2004. május 11-i Kötelezettségvállalásaiban (a továbbiakban „Kötelezettségvállalások”) és az Egyesült Államok nemzeti jogszabályaiban megállapított feltételek mellett végzi a Kötelezettségvállalásokban meghatározottaknak megfelelően.
(12)
Az Egyesült Államok nemzeti jogszabályai tekintetében a Freedom of Information Act (FOIA) (az információ szabadságáról szóló törvény) azért fontos a jelenlegi kontextusban, mert szabályozza azon feltételeket, melyek mellett a CBP elutasíthatja az adatok közzétételére vonatkozó kérelmeket és így megőrizheti a PNR titkosságát, továbbá mert - szoros kapcsolatban az érintett személy betekintési jogával -, megszabja a PNR az érintett számára való nyilvánosságra hozatalát. A FOIA megkülönböztetés nélkül vonatkozik mind az Egyesült Államok állampolgáraira, mind más állampolgárokra.
(13)
A Kötelezettségvállalások tekintetében, és annak (44) bekezdésének megfelelően, a Kötelezettségvállalásokban szereplő kijelentések az Egyesült Államokban bekerülnek vagy már beépültek törvényekbe, rendeletekbe, irányelvekbe vagy más jogalkotási eszközökbe és így különböző fokú jogi hatással rendelkeznek. A Kötelezettségvállalások teljes egészében kihirdetésre kerülnek a DHS felügyelete alatt kiadott Federal Register-ben (szövetségi közlöny). Mint ilyen, a DHS részéről komoly és jól megfontolt politikai kötelezettségvállalást jelentenek, melyek betartása az Egyesült Államok és a Közösség által közösen elvégzett felülvizsgálat tárgya lesz. A Kötelezettségvállalások megsértése értelemszerűen jogi, igazgatási és politikai csatornákon keresztül kifogásolható és amennyiben megsértésük folyamatos, az ezen határozat hatályon kívül helyezését okozhatja.
(14)
Az Egyesült Államok jogszabályain és a Kötelezettségvállalásokon alapuló követelményrendszer, mely alapján a CBP az utasok PNR-adatait kezeli, magában foglalja a természetes személyek adatainak megfelelő szintű védelméhez szükséges alapelveket.
(15)
A célhozkötöttség elve tekintetében, a CBP részére továbbított, a légiutasok PNR-ben szereplő személyes adatait egy konkrét célra használják fel és a továbbiakban csak olyan mértékben használják fel vagy adják tovább, amennyiben az nem összeférhetetlen az adattovábbítás céljával. A PNR-adatokat szigorúan olyan célokra használják fel, melyek a terrorizmus és a kapcsolódó bűncselekmények, a transznacionális jelleget öltő szervezett bűnözést magában foglaló egyéb súlyos bűncselekmények, illetve a fenti bűncselekményekért járó letartóztatás, illetve elfogatóparancs előli menekülés megelőzését és az elleni küzdelmet szolgálják.
(16)
A PNR-adatok fontos közérdeket szolgáló továbbítása szempontjából figyelembe veendő adatminőség és arányosság elve tekintetében, a CBP a részére továbbított PNR-adatokat a későbbiekben nem változtatja meg. Legfeljebb 34 PNR-adat kategóriát lehet továbbítani, továbbá az Egyesült Államok hatóságainak e lista bármely további adatkövetelménnyel való bővítése előtt konzultálnia kell a Bizottsággal. A PNR-adatokból levezethető további személyes információk kormányon kívüli forrásokból csak törvényes csatornákon keresztül szerezhetők be. Általában a PNR-t legkésőbb 3 év és 6 hónap után törölni kell, kivéve azon adatokat, melyeket egy adott nyomozás céljából adtak ki, vagy másképpen manuálisan konzultáltak.
(17)
Az átláthatóság elve tekintetében, a CBP egyéb információk mellett, tájékoztatja az utasokat az adattovábbítás és az adatfeldolgozás céljáról, illetve a harmadik országbeli adatkezelő személyazonosságáról.
(18)
A biztonsági elv vonatkozásában, a CBP technikai és szervezési biztonsági intézkedéseket hoz, amelyek a feldolgozás folyamán felmerülő veszélyek kezeléséhez megfelelőek.
(19)
Amennyiben az érintett személy másolatot kér a PNR-adatokról, illetve a téves adat helyesbítését kéri, a betekintési jogát és az adathelyesbítéshez való jogát tiszteletben kell tartani. Az előirányzott kivételek nagy mértékben hasonlítanak a 95/46/EK irányelv 13. cikkében szereplő, a tagállamok által megszabható korlátozásokra.
(20)
Adatot lehet továbbítani ezen kívül egyéb kormányzati szerveknek, beleértve olyan külföldi kormányzati szerveket, melyek terrorizmusellenes vagy bűnüldözési szerepköre van, eseti elbírálás szerint olyan célokból, amelyek megfelelnek a célhozkötöttségi nyilatkozatban foglalt céloknak. Szintén sor kerülhet adattovábbításra amennyiben ez az érintett vagy egyéb személyek számára életbevágóan fontos, különösen jelentős egészségügyi veszélyeztetés vagy bármely büntetőjogi bírósági eljárás folyamán, illetve más, törvény által megkövetelt esetekben. A befogadó ügynökségek a nyilvánosságra hozatal egyértelmű feltételei szerint kötelesek az adatokat csak az említett célból felhasználni, továbbá a CBP beleegyezése nélkül nem továbbíthatják az adatokat. A CBP adatbázisán keresztül egyetlen egy külföldi, szövetségi, állami vagy helyi ügynökségnek sincs közvetlen elektronikus hozzáférése a PNR-adatokhoz. A CBP megtagadja a PNR nyilvánosságra hozatalát a FOIA erre vonatkozó kivételeket meghatározó rendelkezései alapján.
(21)
A 95/46/EK irányelv 8. cikke értelmében a CBP nem használ fel különleges adatokat és ameddig egy, az Egyesült Államok számára továbbított PNR-ból az ilyen adatok kiszűrésére alkalmas rendszert nem állítanak fel, a CBP vállalja, hogy olyan eszközöket vezet be, melyek révén az említett adatok kitörölhetők úgy, hogy közben azok nem kerülnek felhasználásra.
(22)
A végrehajtási mechanizmusok tekintetében annak biztosítása érdekében, hogy a CBP ezen elveket betartsa, a CBP személyzete képzésben és tájékoztatásban részesül, továbbá a személyzet tagjaira vonatkozólag szankciók kerülnek bevezetésre. A magánélet általános tiszteletben tartását a CBP által a DHS Chief Privacy Officer (személyiségvédelmi főigazgató) ellenőrzi, aki, bár a DHS tisztviselője, széles körű szervezési autonómiával rendelkezik és éves beszámolási kötelezettséggel tartozik a Kongresszus felé. Azon személyek, kiknek PNR-adatait továbbították, panasszal fordulhatnak a CBP-hez, vagy amennyiben ez nem vezet eredményre, a DHS Chief Privacy Officer-hez, közvetlenül vagy a tagállamok adatvédelmi hatóságain keresztül. A DHS Privacy Office (Személyiségvédelmi Iroda) a tagállamok adatvédelmi hatóságai által felé továbbított, az Európai Unió területén lakóhellyel rendelkező polgároktól beérkező panaszokat gyorsított eljárásban kezeli, amennyiben a kérdéses polgár úgy véli, hogy panaszát a CBP vagy a DHS Privacy Office nem vizsgálta ki kielégítően. A Kötelezettségvállalások betartását minden évben közösen felülvizsgálja a CBP és a DHS, illetve egy, a Bizottság által vezetett csoport.
(23)
Az átláthatóság érdekében, illetve a tagállami illetékes szervek azon képességének biztosítása érdekében, hogy biztosítsák az egyének védelmét személyes adataik feldolgozása tekintetében, meg kell határozni azon rendkívüli körülményeket, melyek esetén a specifikus adatfolyam felfüggesztése igazolt lehet, annak ellenére, hogy a védelmi szintet megfelelőnek találták.
(24)
A 95/46/EK irányelv 29. cikke által létrehozott a személyesadat-feldolgozás vonatkozásában az egyének védelmével foglalkozó munkacsoport véleményeket adott ki az utasok adatai tekintetében az Egyesült Államok hatóságai által biztosított védelmi szintről, mely véleményeket a Bizottság a DHS-sel való tárgyalásai során útmutatóként használt. A Bizottság figyelembe vette e véleményeket e határozat kidolgozása során (4).
(25)
E határozatban előírt intézkedések összhangban vannak a 95/46/EK irányelv 31. cikke (1) bekezdése szerint felállított bizottság véleményével,
ELFOGADTA EZT A HATÁROZATOT:
1. cikk
A 95/46/EK irányelv 25. cikke (2) bekezdésére tekintettel, az United States Bureau of Customs and Border Protection (CBP) a mellékletben megállapított Kötelezettségvállalásokkal összhangban úgy tekintendő, mint amely a Közösség részéről történő, az Egyesült Államokból érkező, illetve az oda tartó légijáratokra vonatkozó PNR-adatok továbbításához szükséges megfelelő védelmi szintet biztosítja.
2. cikk
E határozat a CBP által biztosított védelem megfelelőségét érinti a 95/46/EK irányelv 25. cikke (1) bekezdése előírásainak való megfelelés céljából és nem érinti az említett irányelv egyéb rendelkezéseit végrehajtó, a személyes adatok tagállamokon belül történő feldolgozására vonatkozó egyéb feltételeket és korlátozásokat.
3. cikk
(1) Azon hatáskörök sérelme nélkül, amelyek alapján a tagállamok illetékes hatóságai felléphetnek a 95/46/EK irányelv 25. cikkétől eltérő rendelkezések szerint elfogadott nemzeti rendelkezéseknek betartása érdekében, a tagállamok illetékes hatóságai gyakorolhatják a CBP felé történő adatáramlás felfüggesztésre vonatkozó már fennálló hatáskörüket abból a célból, hogy megvédjék a magánszemélyeket személyes adataik feldolgozására való tekintettel a következő esetekben:
a)
amennyiben az Egyesült Államok egy illetékes hatósága megállapítja, hogy a CBP megsérti az alkalmazandó adatvédelmi követelményrendszert; vagy
b)
amennyiben alaposan valószínűsíthető, hogy a mellékletben megállapított védelmi követelményrendszert megsértették, elfogadható alapja van azon feltételezésnek, hogy a CBP nem teszi meg vagy nem fogja megtenni a szükséges és időszerű lépéseket annak érdekében, hogy elintézze a szóban forgó ügyet, az adattovábbítás folytatása az érintett személy számára súlyos károk közvetlen kockázatával jár és az illetékes tagállami szervek megtették az ésszerű erőfeszítéseket az adott viszonyok között annak érdekében, hogy értesítsék a CBP-t és, hogy lehetőséget nyújtsanak neki a válaszadásra.
(2) A felfüggesztésnek véget kell vetni, amint a biztonsági követelmények biztosítva vannak és az érintett tagállamok illetékes hivatalát erről értesítették.
4. cikk
(1) A tagállamok késedelem nélkül értesítik a Bizottságot, amennyiben a 3. cikk szerinti intézkedéseket hoznak.
(2) A tagállamok és a Bizottság kölcsönösen értesítik egymást minden, az adatvédelmi követelményrendszerben beálló változásról és azon esetekről, amelyekben a mellékletben megállapított, a CBP által felállított adatvédelmi követelményrendszernek való megfelelés biztosításáért felelős illetékes szervek fellépése nem biztosítja e megfelelést.
(3) Amennyiben a 3. cikk, illetve ugyanezen cikk (1) és (2) bekezdése értelmében begyűjtött információ bizonyítékul szolgál arra, hogy a természetes személyek védelmének megfelelő szintjéhez szükséges alapelveket már nem tartják be, vagy hogy a mellékletben megállapított, a CBP által felállított adatvédelmi követelményrendszernek való megfelelés biztosításáért felelős illetékes szervek nem végzik eredményesen feladatukat, a CBP-t értesíteni kell, és amennyiben szükséges, a 95/46/EK rendelet 31. cikke (2) bekezdésében említett eljárást kell alkalmazni e határozat hatályon kívül helyezésére vagy felfüggesztésére.
5. cikk
E határozat alkalmazását felügyelni kell és a 95/46/EK irányelv 31. cikke értelmében felállított bizottságnak jelenteni kell bármely vonatkozó ténymegállapítást, beleértve minden olyan ténymegállapítást, amely érintheti a jelen határozat 1. cikkében szereplő azon megítélést, hogy a CBP részére továbbított, a légiutasok PNR-je által tartalmazott személyes adatok védelme a 95/46/EK irányelv 25. cikkének értelmében megfelelő.
6. cikk
A tagállamok e határozatot kihirdetését követő négy hónapon belül megtesznek minden, annak alkalmazásához szükséges intézkedést.
7. cikk
E határozat a kihirdetését követő három év és hat hónap leteltével jár le, amennyiben a 95/46/EK irányelv 31. cikke (2) bekezdésében megállapított eljárással összhangban nem hosszabbítják meg azt.
8. cikk
E rendeletnek a tagállamok a címzettjei.
Kelt Brüsszelben, 2004. május 14-én.