Décision de la Commission

Beschikking van de Commissie

du 6 septembre 2005

van 6 september 2005

constatant le niveau de protection adéquat des données à caractère personnel contenues dans les dossiers des passagers aériens (DP) transférés à l’Agence des services frontaliers du Canada

over de passende bescherming van persoonsgegevens in het "Passenger Name Record" (PNR) van vliegtuigpassagiers die aan de "Canada Border Services Agency" worden doorgegeven

[notifiée sous le numéro C(2005) 3248]

(Kennsigeving geschied onder nummer C(2005) 3248)

(Texte présentant de l'intérêt pour l'EEE)

(Voor de EER relevante tekst)

(2006/253/CE)

(2006/253/EG)

LA COMMISSION DES COMMUNAUTÉS EUROPÉENNES,

DE COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN,

vu le traité instituant la Communauté européenne,

Gelet op het Verdrag tot oprichting van de Europese Gemeenschap,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données [1], et notamment son article 25, paragraphe 6,

Gelet op Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens [1], en met name op artikel 25, lid 6,

considérant ce qui suit:

Overwegende hetgeen volgt:

(1) La directive 95/46/CE demande aux États membres de prévoir que le transfert de données à caractère personnel vers un pays tiers ne peut être effectué que si le pays tiers en question assure un niveau de protection adéquat et si les lois nationales mettant en œuvre d’autres dispositions de la directive sont respectées avant le transfert.

(1) Krachtens Richtlijn 95/46/EG moeten de lidstaten garanderen dat persoonsgegevens slechts naar een derde land worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en de wetgeving van de betrokken lidstaat die is vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn, al vóór de doorgifte wordt nageleefd.

(2) La Commission peut constater qu’un pays tiers assure un niveau de protection adéquat. Sur la base de ce constat, des données à caractère personnel peuvent être transférées à partir des États membres sans qu’aucune garantie supplémentaire ne soit nécessaire.

(2) De Commissie kan vaststellen dat een derde land waarborgen voor een passend beschermingsniveau biedt. In dat geval kunnen persoonsgegevens zonder aanvullende garanties door de lidstaten worden doorgegeven.

(3) La directive 95/46/CE demande que le niveau de protection des données soit apprécié au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transfert de données et en vertu de certaines conditions énumérées à l’article 25, paragraphe 2.

(3) Volgens Richtlijn 95/46/EG moet bij de beoordeling van het gegevensbeschermingsniveau rekening worden gehouden met alle omstandigheden waarin een gegevensdoorgifte of een categorie gegevensdoorgiften plaatsvindt en in het bijzonder met een aantal in artikel 25, lid 2, van de richtlijn opgenomen elementen die van belang zijn voor de doorgifte.

(4) Dans le cadre des transports aériens, le "dossier passager" (DP) est un fichier contenant les renseignements relatifs au voyage de chaque passager. Il renferme toutes les informations nécessaires au traitement et au contrôle des réservations par les compagnies aériennes contractantes ou partenaires [2]. Aux fins de la présente décision, les termes "passager" et "passagers" incluent les "membres de l’équipage". "Compagnie aérienne contractante" signifie la compagnie auprès de laquelle le passager a réalisé sa première réservation ou auprès de laquelle des réservations additionnelles ont été réalisées après le début du voyage. "Compagnie aérienne partenaire" signifie toute compagnie aérienne auprès de laquelle la compagnie aérienne contractante a sollicité une place, sur un ou plusieurs de ses vols, pour un passager.

(4) In het kader van het luchtverkeer is het "Passenger Name Record" (PNR) een bestand met de reisgegevens van elke passagier, dat alle informatie bevat die de boekende en de deelnemende luchtvaartmaatschappijen nodig hebben om reserveringen te kunnen verwerken en controleren [2]. In deze beschikking omvatten de termen "passagier" en "passagiers" ook de bemanningsleden. Onder "boekende maatschappij" wordt de luchtvaartmaatschappij verstaan waarbij de passagier zijn oorspronkelijke boeking heeft gedaan of waarbij na het begin van de reis verdere boekingen zijn gedaan. Onder "deelnemende maatschappijen" wordt elke luchtvaartmaatschappij verstaan waarbij door de boekende maatschappij voor een passagier een plaats op een of meer vluchten is gereserveerd.

(5) L’agence des services frontaliers du Canada (ASFC) exige de toutes les compagnies aériennes assurant le transport de passagers à destination du Canada qu’elles lui fournissent un accès électronique aux dossiers DP recueillis et stockés dans leur système informatisé de réservation et de contrôle des départs.

(5) De "Canada Border Services Agency" (CBSA) eist van elke luchtvaartmaatschappij die passagiersvluchten naar Canada verzorgt elektronische toegang tot PNR-gegevens, voorzover deze zijn verzameld en in de geautomatiseerde boekings- en vertrekcontrolesystemen van de betrokken luchtvaartmaatschappij zijn opgeslagen.

(6) L’obligation de transfert des données à caractère personnel contenues dans les DP des passagers aériens à l’ASFC se fonde sur la section 107.1 de la Loi sur les douanes, sur le paragraphe 148(d) de la Loi sur l’immigration et la protection des réfugiés et sur des règlements de mise en œuvre adoptés en vertu de ces lois [3].

(6) De eis van de doorgifte van de passagiersgegevens uit het PNR aan de CBSA stoelt op artikel 107.1 van de "Customs Act" (douanewetgeving) en artikel 148(d) van de "Immigration and Refugee Protection Act" (wet op de immigratie en de bescherming van vluchtelingen) en op uitvoeringsbesluiten daarvan [3].

(7) La législation canadienne en question concerne le renforcement de la sécurité ainsi que les conditions d’entrée au Canada, points sur lesquels le Canada a un pouvoir de décision souverain dans le cadre de sa juridiction. Par ailleurs, les exigences ne sont pas contraires à ses autres engagements internationaux. Le Canada est un pays démocratique, gouverné par des principes de droit et doté d’une solide tradition en matière de libertés publiques. La légitimité de son processus législatif ainsi que la force et l’indépendance de son appareil judiciaire ne sont pas mises en question. La liberté de la presse constitue une autre garantie puissante contre toute violation des libertés publiques.

(7) Deze Canadese wetgeving betreft een verhoging van de veiligheid en de voorwaarden voor toegang tot het land, aangelegenheden waarvoor Canada soeverein besluiten kan treffen. Voorts zijn de vastgestelde voorschriften niet in strijd met enige internationale verplichting die door Canada is aangegaan. Canada is een democratisch land en een rechtsstaat met een lange traditie van burgerlijke vrijheden. De legitimiteit van de wetgevingsprocedures en de capaciteit en onafhankelijkheid van het rechtsstelsel in Canada staan niet ter discussie. Daarnaast is ook de persvrijheid een sterke garantie tegen elk misbruik van de burgerlijke vrijheden.

(8) La Communauté soutient entièrement le Canada dans sa lutte contre le terrorisme dans les limites imposées par le droit communautaire. Ce dernier prévoit d’établir un juste équilibre nécessaire entre les préoccupations en matière de sécurité et celles concernant la protection des données. Par exemple, l’article 13 de la directive 95/46/CE permet aux États membres de prendre des mesures législatives dont l’objectif est de limiter la portée d’autres exigences visées dans la directive lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder la sûreté de l’État, la défense, la sécurité publique ainsi que la prévention, la recherche, la détection et la poursuite d’infractions pénales.

(8) Binnen de grenzen van de communautaire wetgeving steunt de Gemeenschap Canada ten volle in de strijd tegen het terrorisme. De communautaire wetgeving streeft naar een evenwicht tussen veiligheidseisen en het respect voor het privé-leven. Volgens artikel 13 van Richtlijn 95/46/EG kunnen de lidstaten bijvoorbeeld wettelijke maatregelen nemen om de reikwijdte van bepaalde voorschriften van de richtlijn te beperken, waar dit nodig is om redenen van nationale veiligheid, defensie, openbare veiligheid en met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten.

(9) Les transferts de données concernent des contrôleurs spécifiques, à savoir les compagnies aériennes assurant des liaisons entre la Communauté et le Canada et un seul destinataire au Canada, à savoir l’ASFC.

(9) De bedoelde doorgifte van gegevens betreft specifieke controle-instanties, zoals luchtvaartmaatschappijen die tussen de Gemeenschap en Canada vliegen, en slechts één ontvanger in Canada, de CBSA.

(10) Tout arrangement visant à établir un cadre réglementaire pour les transferts de DP au Canada, notamment par le biais de la présente décision, doit être limité dans le temps. Une période de trois ans et demi a été convenue. Au cours de ce laps de temps, le contexte peut considérablement changer et la Communauté et le Canada conviennent qu’une révision des arrangements sera nécessaire.

(10) Elke regeling die een wettelijk kader creëert voor de doorgifte van PNR-gegevens naar Canada, met name via deze beschikking, moet een beperkte looptijd hebben. Er is een periode van drie en een half jaar overeengekomen. Tijdens deze periode kan de situatie ingrijpend veranderen en de Gemeenschap en Canada zijn het erover eens dat de regeling zal moeten worden herzien.

(11) Le traitement par l’ASFC des données à caractère personnel contenues dans les DP des passagers aériens qui lui sont transférés est régis par les dispositions figurant dans les Engagements de l’Agence des services frontaliers du Canada concernant l’application de son programme DP (ci-après dénommés "Engagements") et par la législation canadienne dans les conditions prévues par les Engagements.

(11) Voor de verwerking door de CBSA van de doorgegeven passagiersgegevens uit het PNR gelden de voorwaarden die zijn neergelegd in de Verbintenissen van de CBSA in verband met de toepassing van het PNR-programma (hierna de "verbintenissen" genoemd) en in de nationale wetgeving van Canada waarnaar in deze verbintenissen wordt verwezen.

(12) S’agissant de la législation nationale canadienne, la Loi sur la protection des renseignements personnels, la Loi sur l’accès à l’information et la section 107 de la Loi sur les douanes sont déterminantes dans le contexte actuel dans la mesure où elles règlent les conditions dans lesquelles l’ASFC peut s’opposer à des demandes de divulgation et traiter ainsi les DP de manière confidentielle. La Loi sur la protection des renseignements personnels réglemente la divulgation des DP aux personnes concernées, qui est étroitement liée au droit d’accès dont celles-ci disposent. La Loi sur la protection des renseignements personnels ne s’applique qu’aux personnes présentes au Canada. Toutefois, l’ASFC autorise l’accès aux renseignements DP détenues sur un ressortissant étranger si cette personne n’est pas présente au Canada.

(12) Wat de nationale wetgeving van Canada betreft, zijn de "Privacy Act", de "Access to Information Act" en afdeling 107 van de "Customs Act" in deze context in zoverre van belang dat daarin de voorwaarden zijn vastgesteld waaronder de CBSA verzoeken om openbaarmaking kan weigeren en zo het vertrouwelijke karakter van het PNR kan garanderen. De "Privacy Act" regelt de openbaarmaking van de PNR-gegevens aan de betrokkene, tegelijk met het recht van toegang van de betrokkene. De "Privacy Act" is alleen van toepassing voor personen die in Canada aanwezig zijn. Daarnaast garandeert de CBSA aan onderdanen van een ander land echter de toegang tot hun PNR-gegevens ook als zij niet in Canada aanwezig zijn.

(13) En ce qui concerne, et conformément à ce que prévoit la section 43, les dispositions des Engagements ont soit été incluses dans le droit canadien en vigueur soit sont inscrites dans les règlements nationaux conçus spécifiquement dans ce but et auront donc un effet juridique. Les Engagements seront publiés intégralement dans la Gazette du Canada. Ils représentent donc un engagement sérieux et réfléchi de la part de l’ASFC et leur respect est contrôlé conjointement par le Canada et la Communauté. Les manquements peuvent être combattus, le cas échéant, par des canaux juridiques, administratifs et politiques. Leur répétition entraîne la suspension des effets de la présente décision.

(13) Zoals bepaald in punt 43 van de verbintenissen, zijn de bepalingen ervan opgenomen in hetzij de bestaande Canadese wetgeving, hetzij speciaal daartoe opgestelde interne regelingen. Bijgevolg hebben zij kracht van wet. De verbintenissen worden in extenso gepubliceerd in de "Canada Gazette". Zij getuigen van een ernstig en goed doordacht politiek engagement van de CBSA en de naleving ervan zal door de Gemeenschap en Canada gezamenlijk worden geëvalueerd. Tegen niet-naleving kan eventueel worden opgetreden met wettelijke, administratieve en politieke middelen; bij voortdurende niet-naleving kunnen de effecten van deze beschikking worden opgeschort.

(14) Les normes en vertu desquelles l’ASFC traite les données DP des passagers sur la base de la législation canadienne et des Engagements respectent les principes essentiels nécessaires pour assurer un niveau de protection adéquat des personnes physiques.

(14) De normen die de CBSA bij het verwerken van PNR-gegevens op basis van de Canadese wetgeving en de verbintenissen zal hanteren, voldoen aan de basiseisen voor een passend beschermingsniveau voor natuurlijke personen.

(15) En ce qui concerne le principe de limitation à une finalité spécifique, les données à caractère personnel des passagers aériens contenues dans les DP qui sont transférés à l’ASFC doivent être traitées dans un but spécifique et n’être utilisées ou communiquées ultérieurement que dans la mesure où cela n’est pas incompatible avec la finalité du transfert. En particulier, les données des DP doivent être utilisées dans le but unique de prévenir et de combattre le terrorisme et les crimes liés au terrorisme, d’autres délits graves, y compris la criminalité organisée qui, par nature, revêtent un caractère transnational.

(15) Wat het beginsel van de gebruiksbeperking betreft, zullen de passagiersgegevens uit het PNR die aan de CBSA worden doorgegeven, voor een specifiek doel worden gebruikt en daarna alleen nog worden aangewend of medegedeeld voorzover dit niet onverenigbaar is met het doel van de doorgifte. Meer bepaald zullen PNR-gegevens uitsluitend worden gebruikt ter preventie en bestrijding van terrorisme en verwante misdrijven en andere zware misdrijven, waaronder georganiseerde misdaad, die van grensoverschrijdende aard zijn.

(16) En ce qui concerne la qualité des données et le principe de proportionnalité, qui doivent être considérés conjointement avec des motifs d’intérêt public importants justifiant le transfert des données des DP, les données fournies à l’ASFC ne doivent pas être ultérieurement modifiées par cette dernière. 25 rubriques de données des DP au maximum sont transférées et l’ASFC conviendra avec la Commission européenne de la révision des 25 rubriques des PNR requises énumérées à l’annexe A avant d’effectuer toute révision. Les informations personnelles supplémentaires recherchées par suite directe de l’examen de données de DP sont obtenues de sources non gouvernementales, uniquement par des voies légales. En règle générale, les DP sont effacés après une période maximale fixée à trois ans et six mois.

(16) Wat de gegevenskwaliteit en het evenredigheidsbeginsel betreft, die moeten worden gezien in het licht van de belangrijke redenen van openbaar belang waarom PNR-gegevens worden doorgegeven, zij opgemerkt dat deze gegevens na doorgifte aan de CBSA door deze dienst achteraf niet zullen worden gewijzigd. Maximaal 25 PNR-gegevenscategorieën zullen aan de CBSA worden doorgegeven. De CBSA zal met de Europese Commissie afspraken maken over een herziening van de 25 verplichte PNR-gegevens in aanhangsel A, alvorens deze herziening door te voeren. Aanvullende persoonsgegevens die in direct verband met PNR-gegevens nodig worden geacht, worden alleen via legale weg uit andere dan overheidsbronnen verkregen. In de regel worden de PNR-gegevens na maximaal drie jaar en zes maanden vernietigd.

(17) En ce qui concerne le principe de transparence, l’ASFC informe les voyageurs de la finalité du transfert et du traitement et leur fournit l’identité du responsable du traitement des données ainsi que d’autres renseignements.

(17) Wat het transparantiebeginsel betreft, zal de CBSA de reizigers van het doel van de doorgifte en verwerking van de gegevens en van de identiteit van de voor de verwerking verantwoordelijke op de hoogte stellen en hun ook andere informatie verstrekken.

(18) En ce qui concerne le principe de sécurité, l’ASFC prend les mesures de sécurité techniques et organisationnelles appropriées aux risques présentés par le traitement.

(18) Wat het beveiligingsprincipe betreft, neemt de CBSA technische en organisatorische beveiligingsmaatregelen die in verhouding staan tot de aan de verwerking van de gegevens inherente risico's.

(19) Les droits d’accès, de rectification et d’opposition sont reconnus dans la loi sur la protection des renseignements personnels à tous les individus présents au Canada. L’ASFC étend ces droits aux renseignements DP en sa possession concernant les étrangers qui ne sont pas présents au Canada. Les exceptions prévues sont dans l’ensemble comparables aux restrictions qui peuvent être imposées par un État membre au titre de l’article 13 de la directive 95/46/CE.

(19) Het recht van toegang, rectificatie en aantekening wordt in de "Privacy Act" gegarandeerd voor personen die in Canada aanwezig zijn. De CBSA zal deze rechten voor PNR-gegevens die zij in haar bezit heeft, uitbreiden tot buitenlanders die niet in Canada aanwezig zijn. De uitzonderingen waarin is voorzien, zijn grotendeels vergelijkbaar met de beperkingen die door de lidstaten overeenkomstig artikel 13 van Richtlijn 95/46/EG kunnen worden opgelegd.

(20) Les transferts ultérieurs sont effectués, au cas par cas, à d’autres autorités, y compris des autorités étrangères, à des fins qui sont identiques ou conformes à celles établies dans la déclaration de limitation de l’objectif concernant une quantité minimale de données. Des transferts peuvent également être effectués en vue de la protection des intérêts vitaux de la personne concernée ou d’autres personnes, notamment en cas de risques sanitaires ou dans le cadre d’une procédure pénale ou au titre d’autres exigences prévues par la loi. Ces autorités doivent, en vertu des conditions expresses de diffusion, employer les données uniquement aux fins prévues et ne pas procéder à un transfert ultérieur sans l’accord de l’ASFC. Aucune autre autorité étrangère, fédérale, provinciale ou locale ne dispose d’un accès électronique direct aux données de DP via les bases de données de l’ASFC. Cette dernière s’oppose à la divulgation publique des DP sur la base des exemptions prévues par les dispositions pertinentes de la loi sur l’accès à l’information et de la loi sur la protection des renseignements personnels.

(20) Verdere doorgifte naar andere overheidsinstanties, inclusief die in het buitenland, geschiedt van geval tot geval, voor doeleinden die identiek zijn met of aansluiten bij hetgeen in de verklaring over de gebruiksbeperking is aangegeven, en voor een minimumaantal gegevens. Doorgifte is ook mogelijk ter bescherming van de vitale belangen van de betrokkene of van andere personen, meer bepaald wanneer het gaat om belangrijke gezondheidsrisico's, gerechtelijke procedures, of andere bij wet vastgestelde gevallen. De ontvangende instanties zijn expliciet gebonden door de voorwaarden voor vrijgave; zij mogen de gegevens alleen voor het beoogde doel gebruiken en de gegevens niet verder doorgeven zonder toestemming van de CBSA. Andere buitenlandse, federale, provinciale of lokale instanties dan de CBSA hebben geen rechtstreekse elektronische toegang tot de PNR-gegevens via de CBSA-gegevensbanken. Openbare bekendmaking van PNR-gegevens zal door de CBSA worden geweigerd op grond van ontheffingen van de relevante bepalingen van de "Access to Information Act" en de "Privacy Act".

(21) L’ASFC n’utilise pas de données sensibles au sens de l’article 8 de la directive 95/46/CE.

(21) De CBSA ontvangt geen gevoelige gegevens in de zin van artikel 8 van Richtlijn 95/46/EG.

(22) En ce qui concerne les mécanismes de contrôle visant à garantir le respect de ces principes par l’ASFC, il est prévu un système de formation et d’information du personnel de l’ASFC, ainsi que de sanctions pour les membres individuels dudit personnel. Le bureau indépendant du commissaire canadien à la protection de la vie privée veille au respect, par l’ASFC, de la confidentialité des données en général et ce, en vertu des conditions fixées dans la Charte canadienne des droits et libertés et de la loi sur la protection des renseignements personnels. Le Commissariat à la protection de la vie privée peut examiner les plaintes qui lui sont transmises par les autorités responsables de la protection des données dans les États membres au nom des résidents de l'Union européenne si ceux-ci estiment que leurs plaintes n’ont pas été traitées de façon satisfaisante par l’ASFC. Le respect des Engagements fait l’objet d’un examen annuel conjoint mené par l’ASFC et une équipe dirigée par la Commission.

(22) Wat de handhavingsmechanismen ter waarborging van de naleving van deze beginselen door de CBSA betreft, is voorzien in opleiding en voorlichting voor het personeel van deze dienst, alsook in sancties voor individuele personeelsleden. Op het respect van het CBSA voor het privé-leven in het algemeen wordt toegezien door het onafhankelijke "Office of the Canadian Privacy Commissioner" volgens de in het Canadese handvest van rechten en vrijheden ("Canadian Charter of Rights and Freedoms") en de "Privacy Act" vastgestelde voorwaarden. De "Privacy Commissioner" kan klachten behandelen die door de gegevensbeschermingsautoriteiten van de lidstaten namens een burger van de Gemeenschap bij hem worden ingediend, indien de burger van oordeel is dat zijn klacht door de CBSA niet correct is behandeld. De naleving van de verbintenissen zal elk jaar door de CBSA en een team onder leiding van de Commissie gemeenschappelijk worden geëvalueerd.

(23) Afin de contribuer à la transparence et en vue de garantir la capacité des autorités compétentes au sein des États membres d’assurer la protection des personnes physiques à l’égard du traitement de leurs données à caractère personnel, il convient de préciser les circonstances exceptionnelles dans lesquelles la suspension de flux particuliers de données peut être justifiée, indépendamment de la constatation du niveau de protection adéquat.

(23) In het belang van de transparantie en om de bevoegde autoriteiten in de lidstaten in staat te stellen de bescherming van personen in verband met de verwerking van hun persoonsgegevens te waarborgen, is het noodzakelijk de uitzonderlijke omstandigheden te specificeren die tot een opschorting van de doorgifte van gegevens kunnen leiden, ook al is er een passend beschermingsniveau vastgesteld.

(24) Le groupe de travail sur la protection des personnes à l’égard du traitement des données à caractère personnel institué par l’article 29 de la directive 95/46/CE, a rendu des avis sur le niveau de protection assuré par les autorités canadiennes en ce qui concerne les données sur les passagers, qui ont guidé la Commission pendant toute la durée de ces négociations avec l’ASFC. La Commission a tenu compte de ces avis lors de l’élaboration de la présente décision [4].

(24) De Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens, die bij artikel 29 van Richtlijn 95/46/EG is opgericht, heeft adviezen gegeven over het door de Canadese autoriteiten voor passagiersgegevens geboden beschermingsniveau, waarop de Commissie zich tijdens de onderhandelingen met de CBSA heeft gebaseerd. De Commissie heeft bij de voorbereiding van deze beschikking met deze adviezen rekening gehouden [4].

(25) Les mesures prévues par la présente décision sont conformes à l’avis du comité institué par l’article 31, paragraphe 1, de la directive 95/46/CE,

(25) De in deze beschikking vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31, lid 1, van Richtlijn 95/46/EG ingestelde comité,

A ARRÊTÉ LA PRÉSENTE DÉCISION:

HEEFT DE VOLGENDE BESCHIKKING GEGEVEN:

Article premier

Artikel 1

Aux fins de l’article 25, paragraphe 2, de la directive 95/46/CE, l’Agence des services frontaliers du Canada (ci-après dénommée ASFC) est considérée comme assurant un niveau de protection adéquat des données DP transférées de la Communauté en ce qui concerne les vols à destination du Canada, conformément aux Engagements figurant à l’annexe.

In de zin van artikel 25, lid 2, van Richtlijn 95/46/EG wordt ervan uitgegaan dat de Canadese "Customs Border Services Agency" (hierna CBSA) een passend beschermingsniveau overeenkomstig de verbintenissen in de bijlage biedt voor PNR-gegevens die vanuit de Gemeenschap met betrekking tot vluchten van en naar Canada worden doorgegeven.

Article 2

Artikel 2

La présente décision concerne le niveau de protection adéquat assuré par l’ASFC en vue de répondre aux exigences de l’article 25, paragraphe 1, de la directive 95/46/CE et n’aura aucune influence sur d’autres conditions ou restrictions mettant en application d’autres dispositions de la directive qui s’appliquent au traitement de données à caractère personnel dans les États membres.

Deze beschikking heeft betrekking op het passende karakter van de bescherming die door de CBSA wordt geboden om aan de vereisten van artikel 25, lid 1, van Richtlijn 95/46/EG te voldoen en laat andere voorwaarden of beperkingen tot uitvoering van andere bepalingen van die richtlijn die op de verwerking van persoonsgegevens in de lidstaten betrekking hebben, onverlet.

Article 3

Artikel 3

1. Sans préjudice des pouvoirs leur permettant de prendre des mesures pour assurer le respect des dispositions nationales adoptées conformément aux dispositions autres que l’article 25 de la directive 95/46/CE, les autorités compétentes des États membres peuvent exercer les pouvoirs dont elles disposent actuellement pour suspendre le transfert de données à l’ASFC afin de protéger les personnes physiques à l’égard du traitement des données à caractère personnel et ce, dans les cas:

1. Zonder afbreuk te doen aan hun bevoegdheden om maatregelen te nemen ter uitvoering van nationale bepalingen die zijn goedgekeurd ingevolge andere bepalingen dan artikel 25 van Richtlijn 95/46/EG, kunnen de bevoegde autoriteiten in de lidstaten gebruik maken van hun bestaande bevoegdheden om gegevensstromen naar de CBSA te onderbreken, teneinde personen ten aanzien van de verwerking van hun persoonsgegevens te beschermen in de gevallen waarin:

a) où une autorité canadienne compétente a constaté que l’ASFC ne respecte pas les normes applicables en matière de protection,

a) een bevoegde Canadese autoriteit tot de conclusie is gekomen dat de CBSA in strijd met de toepasselijke normen voor gegevensbescherming handelt; of

b) où il est fort probable que les normes de protection établies à l’annexe I ne sont pas respectées et où il y a tout lieu de croire que l’ASFC ne prend pas ou ne prendra pas en temps voulu les mesures qui s’imposent en vue de régler l’affaire en question; où la poursuite du transfert entraînerait un risque imminent de grave préjudice pour les personnes concernées; et où les autorités compétentes de l’État membre se sont raisonnablement efforcées, dans ces circonstances, d’avertir l’ASFC et de lui donner la possibilité de répondre.

b) het zeer waarschijnlijk is dat niet aan de in de bijlage vastgestelde normen voor gegevensbescherming wordt voldaan, er goede redenen zijn om aan te nemen dat de CBSA niet tijdig passende maatregelen neemt of zal nemen om het desbetreffende probleem op te lossen, de voortzetting van de doorgifte een imminent gevaar voor ernstige schade aan de betrokkene inhoudt en de bevoegde autoriteiten in de lidstaat redelijke inspanningen in deze situatie hebben geleverd om de CBSA in kennis te stellen en de gelegenheid te geven te reageren.

2. La suspension du transfert cesse dès que les normes de protection sont assurées et que l’autorité compétente des États membres concernés en est avertie.

2. De opschortende maatregel blijft van kracht totdat vaststaat dat de beschermingsnormen worden nageleefd en de bevoegde autoriteiten van de betrokken lidstaten hiervan in kennis zijn gesteld.

Article 4

Artikel 4

1. Les États membres informent sans tarder la Commission des mesures adoptées sur la base de l’article 3.

1. De lidstaten stellen de Commissie onverwijld in kennis wanneer op grond van artikel 3 maatregelen worden genomen.

2. Les États membres et la Commission s’informent aussi mutuellement de tout changement dans les normes de protection ainsi que des cas dans lesquels les mesures prises par les autorités chargées de veiller au respect par l’ASFC des normes de protection établies à l’annexe ne suffisent pas à en assurer le respect.

2. De lidstaten en de Commissie brengen elkaar op de hoogte van iedere verandering in de normen voor gegevensbescherming en van de gevallen waarin de instanties die verantwoordelijk zijn voor de naleving door de CBSA van de in de bijlage vastgestelde beschermingsnormen, niet in staat zijn deze naleving te garanderen.

3. Si les informations recueillies sur la base de l’article 3 et des paragraphes 1 et 2 du présent article montrent que les principes essentiels nécessaires pour assurer un niveau de protection adéquat des personnes physiques ne sont plus respectés, ou qu’un quelconque organisme chargé de veiller au respect par l’ASFC des normes de production établies à l’annexe ne remplit pas efficacement sa mission, l’ASFC sera informée et, si nécessaire, la procédure visée à l’article 31, paragraphe 2, de la directive 95/46/CE sera applicable en vue d’annuler ou de suspendre la présente décision.

3. Wanneer uit de overeenkomstig artikel 3 en de leden 1 en 2 van dit artikel verzamelde informatie blijkt dat de grondbeginselen voor een passend beschermingsniveau voor natuurlijke personen niet langer vervuld zijn, of dat een instantie die verantwoordelijk is voor de naleving door de CBSA van de in de bijlage vastgestelde beschermingsnormen, haar taak niet naar behoren vervult, wordt de CBSA hiervan in kennis gesteld en indien nodig wordt de in artikel 31, lid 2, van Richtlijn 95/46/EG vastgestelde procedure van kracht om deze beschikking in te trekken of op te schorten.

Article 5

Artikel 5

La mise en œuvre de la présente décision sera évaluée et toute constatation pertinente sera signalée au comité institué par l’article 31 de la directive 95/46/CE, et notamment tout élément susceptible d’avoir une incidence sur l’appréciation, au titre de l’article premier de la présente décision, du niveau de protection adéquat des données à caractère personnel contenues dans les DP des passagers aériens transférés à l’ASFC, au sens de l’article 25 de la directive 95/46/CE.

De werking van deze beschikking wordt geëvalueerd en alle relevante vaststellingen worden medegedeeld aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité; dit geldt ook voor alle gegevens die van invloed kunnen zijn op de bevinding in artikel 1 van deze beschikking, dat de bescherming van in het PNR van passagiers opgenomen persoonsgegevens die aan de CBSA worden doorgegeven passend is in de zin van artikel 25 van Richtlijn 95/46/EG.

Article 6

Artikel 6

Les États membres prennent toutes les mesures nécessaires pour se conformer à la présente décision dans les quatre mois à compter de sa notification.

De lidstaten nemen alle noodzakelijke maatregelen om aan de vereisten van deze beschikking te voldoen binnen een termijn van vier maanden na de kennisgeving ervan.

Article 7

Artikel 7

La présente décision viendra à échéance trois ans et six mois à compter de sa notification, à moins qu’elle ne soit prolongée conformément à la procédure prévue à l’article 31, paragraphe 2, de la directive 95/46/CE.

Deze beschikking loopt 3 jaar en 6 maanden na haar kennisgeving af, tenzij zij overeenkomstig de procedure van artikel 31, lid 2, van Richtlijn 95/46/EG wordt verlengd.

Article 8

Artikel 8

Les États membres sont destinataires de la présente décision.

Deze beschikking is gericht tot de lidstaten.

Fait à Bruxelles, le 6 septembre 2005.

Gedaan te Brussel, 6 september 2005.

Par la Commission

Voor de Commissie

Franco Frattini

Franco Frattini

Vice-président

Vicevoorzitter

[1] JO L 281 du 23.11.1995, p. 31. Directive telle que modifiée par le règlement (CE) no 1882/2003 (JO L 284 du 31.10.2003, p. 1).

[1] PB L 281 van 23.11.1995, blz. 31. Richtlijn als gewijzigd bij Verordening (EG) nr. 1882/2003 (PB L 284 van 31.10.2003, blz. 1).

[2] Au sens de la présente décision, le sigle "PNR" englobe également les informations anticipées sur les voyageurs (API) conformément à la section 4 des Engagements de la CBSA.

[2] In deze beschikking omvat de term "PNR" ook de op voorhand verstrekte passagiersgegevens ("Advance Passenger Information" API) van punt 4 van de verbintenissen van de CBSA.

[3] Règlements relatifs à l’information des passagers (douanes) et règlement 269 concernant l’immigration et la protection des réfugiés.

[3] "Passenger Information (Customs) Regulations" en "Regulation 269" van de "Immigration and Refugee Protection Regulations".

[4] Avis 3/2004 sur le niveau de protection assuré, au Canada, à la transmission, par les compagnies aériennes, des dossiers passagers et d’informations anticipées sur les voyageurs, adopté par le groupe de travail le 11 février 2004 et disponible sur: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2004/wp88_fr.pdfAvis 1/2005 sur le niveau de protection assuré, au Canada, à la transmission, par les compagnies aériennes, des dossiers passagers et d’informations anticipées sur les voyageurs, adopté par le groupe de travail le 19 janvier 2005 et disponible sur: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2004/wp103_fr.pdf

[4] Advies 3/2004 over het in Canada voor de doorgifte door luchtvaartmaatschappijen van passagiersgegevens (PNR/API) gewaarborgde beschermingsniveau, goedgekeurd door de Groep op 11 februari 2004, beschikbaar op het volgende adres: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2004/wp88_en.pdf.Advies 1/2005 over het in Canada voor de doorgifte door luchtvaartmaatschappijen van passagiersgegevens (PNR/API) gewaarborgde beschermingsniveau, goedgekeurd door de Groep op 19 januari 2005, beschikbaar op het volgende adres: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2005/wp103_en.pdf.

--------------------------------------------------

--------------------------------------------------

ANNEXE

BIJLAGE

ENGAGEMENTS DE L’AGENCE DES SERVICES FRONTALIERS DU CANADA EN CE QUI CONCERNE L’APPLICATION DE SON PROGRAMME DP

VERBINTENISSEN VAN DE "CUSTOMS BORDER SERVICE AGENCY" IN VERBAND MET DE TOEPASSING VAN HET PNR-PROGRAMMA

Base juridique concernant la collecte de données IPV (Information préalable sur les voyageurs) et DP (dossier passager)

Wettelijke bevoegdheid om API- en PNR-gegevens te verzamelen

1. Toutes les compagnies aériennes sont tenues, d’après le droit canadien, de fournir à l’Agence des services frontaliers du Canada (ASFC) l’information préalable sur les voyageurs (IPV) et le dossier passager (DP) concernant toutes les personnes à bord de vols à destination du Canada. La base juridique qui permet à l’ASFC d’obtenir et de collecter ce type d’information figure à la section 107.1 de la Loi sur les douanes et dans le Règlement sur les renseignements relatifs aux passagers (douanes) arrêtés en vertu de cette loi, présentés à l’annexe A, et à l’alinéa 148, paragraphe 1(d) de la Loi sur l’immigration et la protection des réfugiés et dans le règlement 269 concernant l’immigration et la protection des réfugiés, arrêté en vertu de cette loi, présenté à l’annexe B.

1. De Canadese wetgeving verplicht alle luchtvaartmaatschappijen de Customs Border Service Agency (CBSA) "Advance Passenger Information" (API-) en "Passenger Name Record" (PNR-) gegevens te verstrekken over alle passagiers op vluchten naar Canada. De rechtsgronden voor het inzamelen van deze gegevens door de CBSA zijn in artikel 107.1 van de "Customs Act" en, in het kader daarvan, de "Passenger Information (Customs) Regulations", en in artikel 148(1)(d) van de "Immigration and Refugee Protection Act" en, in het kader daarvan, "Regulation 269" van de "Immigration and Refugee Protection Regulations" neergelegd.

Objectif de la collecte de données IPV et DP

Doel waarvoor API- en PNR-gegevens worden verzameld

2. Les données IPV et DP ne seront collectées par l’ASFC que pour les vols arrivant au Canada. L’ASFC utilisera les données IPV et DP collectées par les transporteurs européens et autres uniquement pour identifier les personnes risquant d’importer des articles liés au terrorisme ou aux crimes de type terroriste, à d’autres délits graves (y compris le crime organisé) qui sont de nature transnationale ou identifier des personnes qui ne peuvent être admises sur le territoire du Canada en raison de leur rapport éventuel avec le terrorisme ou aux faits délictueux cités plus haut.

2. API- en PNR-gegevens worden door de CBSA alleen verzameld voor vluchten die in Canada aankomen. De CBSA zal de API- en PNR-gegevens van Europese en andere luchtvaartmaatschappijen alleen gebruiken voor het identificeren van personen bij wie het gevaar bestaat dat zij goederen invoeren die verband houden met terrorisme of verwante misdrijven of met andere zware misdrijven, waaronder georganiseerde misdaad, die van grensoverschrijdende aard zijn, of van personen die om reden van een mogelijke betrokkenheid bij terrorisme of bij genoemde misdrijven geen toegang kunnen krijgen tot Canada.

3. Les données IPV et DP seront utilisées par l’ASFC pour cibler les personnes qui seront soumises à un interrogatoire ou à un examen plus approfondi lors de leur arrivée au Canada ou qui nécessitent une autre enquête pour l’une des raisons décrites au paragraphe 2. Aucune mesure de contrôle ne sera prise par l’ASFC ou d’autres organismes d’exécution de la loi du Canada uniquement pour des raisons de traitement automatisé de données IPV et DP.

3. De API- en PNR-gegevens worden door de CBSA gebruikt om gericht te zoeken naar personen die bij aankomst in Canada nader ondervraagd of onderzocht zullen worden, of voor wie voor een van de in punt 2 beschreven doelstellingen nader onderzoek vereist is. Er zullen door de CBSA of andere Canadese politieambtenaren geen rechtshandhavingsmiddelen worden gebruikt alleen op grond van de automatische verwerking van API- en PNR-gegevens.

Données IPV et DP collectées

Verzamelde API- en PNR-gegevens

4. La liste des éléments de donnée de l’IPV qui seront collectées par l’ASFC en vertu des objectifs présentés au paragraphe 2 et mentionnés dans les paragraphes 3(a) à (f) du Règlements sur les renseignements relatifs aux passagers (douanes) arrêtés en vertu de la Loi sur les douanes [1]. La liste des éléments de donnée du DP qui seront collectées par l’ASFC en vertu des objectifs énumérés au paragraphe 2 figurent à l’annexe C. Pour des raisons de sécurité, les "données sensibles" au sens de l’article 8,1 de la directive 95/46/CE (ci-après dénommée "la directive") ainsi que tous les champs "texte ouvert" ou "remarques générales" ne font pas partie des 25 éléments de donnée.

4. De lijst van API-gegevenselementen die door de CBSA voor de in punt 2 genoemde doelstellingen worden verzameld, staat vermeld in de artikelen 3(a) tot (f) van de "Passenger Information (Customs) Regulations" in het kader van de "Customs Act" [1]. De lijst van PNR-gegevens die door de CBSA voor de in punt 2 genoemde doelstellingen worden verzameld, staat vermeld in aanhangsel A. Om de zekerheid te vergroten, worden "gevoelige gegevens" in de zin van artikel 8, lid 1, van Richtlijn 95/46/EG (hierna "de richtlijn" genoemd) en alle "open" of "vrije-tekst"-velden niet opgenomen in deze reeks van 25 gegevens.

5. l’ASFC ne demandera pas à une compagnie aérienne de collecter des renseignements DP que cette dernière ne recense pas pour ses propres besoins, ni de collecter des informations complémentaires en vue de les mettre à la disposition de l’ASFC. En conséquence, l’ASFC s’engage à ne collecter les données énumérées à l’annexe C que si un transporteur a décidé de les insérer dans ses systèmes de réservation automatisés et de contrôle des départs.

5. De CBSA zal van een luchtvaartmaatschappij niet verlangen dat zij PNR-gegevens verzamelt die zij niet al voor eigen doeleinden verzamelt, noch dat zij ten behoeve van de CBSA aanvullende gegevens verzamelt. De CBSA zal de gegevens in aanhangsel A derhalve alleen verzamelen voorzover de luchtvaartmaatschappij besloten heeft deze in haar geautomatiseerde boekings- en vertrekcontrolesystemen op te slaan.

6. l’ASFC conviendra avec la Commission européenne de la révision des 25 éléments de donnée DP requis énumérées à l’annexe C avant d’effectuer toute révision,

6. De CBSA zal met de Europese Commissie afspraken maken over een herziening van de 25 verplichte PNR-gegevens in aanhangsel A, alvorens deze herziening door te voeren,

(a) si l’ASFC constate que des éléments de donnée DP supplémentaires sont disponibles et si elle estime que ces éléments de donnée sont nécessaires pour les objectifs énumérés au paragraphe 2; ou

(a) indien de CBSA kennis krijgt van een extra PNR-gegeven dat beschikbaar kan zijn en zij van oordeel is dat dit gegeven voor de in punt 2 uiteengezette doelstellingen noodzakelijk is; of

(b) si l’ASFC constate, à tout moment, qu’un élément de donnée DP particulière n’est plus nécessaire pour les objectifs énumérés au paragraphe 2.

(b) indien de CBSA op enig ogenblik tot de bevinding komt dat een bepaald PNR-gegeven niet langer noodzakelijk is voor de in punt 2 uiteengezette doelstellingen.

Méthode d’accès aux renseignements IPV et DP

Methode voor toegang tot de API- en PNR-gegevens

7. Le système d’information sur les passagers (ci-après dénommés "SIPAX") de l’ASFC a été configuré pour que les compagnies aériennes lui transmettent leurs données IPV et DP.

7. Het "Passenger Information System" van de CBSA (hierna "PAXIS" genoemd) is ontworpen om API- en PNR-gegevens van de luchtvaartmaatschappijen te ontvangen, die deze via de "push transfer"-methode verstrekken.

Méthodes de conservation et d’accès concernant les renseignements IPV et DP

Bewaren van en toegang tot API- en PNR-gegevens

8. Lorsque les données IPV et DP concernent une personne qui ne fait pas l’objet, au Canada, d’une enquête pour un des motifs décrits au paragraphe 2, elles seront mémorisées dans le SIPAX pendant trois ans et demi au maximum. Durant cette période, les renseignements seront progressivement dépersonnalisés:

8. Indien de API- en PNR-gegevens betrekking hebben op een persoon tegen wie in Canada een onderzoek loopt in verband met een in punt 2 genoemd doel, worden zij in het PAXIS-systeem maximaal drie en een half jaar bewaard. Tijdens deze periode zullen de gegevens op een toenemend anonieme manier worden opgeslagen, als volgt:

(a) au cours des soixante-douze premières heures après réception des données IPV et DP, les informations ne seront accessibles qu’à un nombre limité d’agents responsables du ciblage et du renseignement de l’ASFC qui utiliseront les informations pour identifier les personnes qui seront soumises à un interrogatoire ou à un contrôle plus approfondi à leur arrivée au Canada en raison de l’un des objectifs énumérés au paragraphe 2.

(a) Vanaf de ontvangst tot 72 uur daarna is alle beschikbare API- en PNR-informatie alleen toegankelijk voor een beperkt aantal CBSA-opsporings- en -veiligheidsambtenaren, met het oog op de selectie van personen die bij aankomst in Canada nader ondervraagd of onderzocht moeten worden in verband met een in punt 2 beschreven doel.

(b) Au terme de ces 72 heures et jusqu’à la fin de la période de deux ans après réception des données, le dossier DP d’une personne sera gardé dans le SIPAX mais uniquement accessible aux agents du service de renseignements de l’ASFC travaillant dans un aéroport international du Canada ou à l’Administration centrale de l’ASFC à Ottawa. Le nom de la personne à laquelle les informations se rapportent ne pourra être consulté par ces agents, à moins que cela ne soit demandé en vue de procéder à une enquête au Canada pour l’un des objectifs décrits au paragraphe 2. Le dossier DP ne sera de nouveau personnalisé que si l’agent estime raisonnablement que le nom de la personne est nécessaire pour poursuivre l’enquête. Durant cette période, les informations dépersonnalisées seront utilisées par les évaluateurs du service de renseignements de l’ASFC à des fins d’analyse de tendance et de mise au point d’indicateurs de risques futurs dans le cadre des objectifs fixés au paragraphe 2.

(b) Na afloop van de 72 uur en tot twee jaar na ontvangst worden de PNR-gegevens van een passagier in het PAXIS-systeem opgeslagen en zijn zij alleen toegankelijk voor CBSA-veiligheidsambtenaren die werkzaam zijn op een internationale luchthaven in Canada of op het nationale CBSA-hoofdkwartier in Ottawa. De naam van de persoon waarop de gegevens betrekking hebben blijft onzichtbaar voor deze ambtenaren, tenzij het noodzakelijk wordt voor een van de in punt 2 beschreven doelen een onderzoek in Canada te starten. De PNR-gegevens worden slechts dan weer gepersonaliseerd als de veiligheidsambtenaar redelijkerwijs van oordeel is dat de naam van de persoon noodzakelijk is om met het onderzoek verder te gaan. Tijdens deze periode wordt de anoniem gemaakte informatie door de informatieanalytici van de CBSA gebruikt voor het uitvoeren van trendanalysen en de ontwikkeling van toekomstige risico-indicatoren met betrekking tot de in punt 2 beschreven doelen.

(c) Deux ans après réception des données, le dossier DP sera maintenu dans le SIPAX pour une nouvelle période maximale d’un an et demi, mais tous les éléments de données qui peuvent permettre d’identifier la personne à laquelle se rapportent les informations ne pourront être consultés que si cela est autorisé par le président de l’ASFC en raison d’un objectif décrit au paragraphe 2. Durant cette période, les informations dépersonnalisées seront utilisées par les évaluateurs du service de renseignements de l’ASFC à des fins d’analyse de tendance et de mise au point d’indicateurs de risques futurs dans le cadre des objectifs énumérés au paragraphe 2.

(c) Na twee jaar na ontvangst worden de PNR-gegevens voor een extra periode van maximaal anderhalf jaar in het PAXIS-systeem opgeslagen, maar alle elementen die tot identificatie van de betrokkene zouden kunnen leiden, worden alleen na toestemming van de voorzitter van de CBSA zichtbaar voor een van de in punt 2 beschreven doelen. Tijdens deze periode wordt de anoniem gemaakte informatie door de informatieanalytici van de CBSA gebruikt voor het uitvoeren van trendanalysen en de ontwikkeling van toekomstige risico-indicatoren met betrekking tot de in punt 2 beschreven doelen.

(d) Les données IPV seront mémorisées, dans le SIPAX, séparément des données des DP. Elles seront conservées dans le SIPAX pendant une durée maximale de trois ans et demi, mais durant cette période, les données IPV concernant une personne ne serviront pas à accéder aux données du DP sur la même personne, à moins que le dossier DP ne soit à nouveau personnalisé pour les raisons décrites à l’alinéa (b).

(d) De API-gegevens worden in het PAXIS-systeem gescheiden van de PNR-gegevens opgeslagen. Zij worden in het PAXIS-systeem bewaard gedurende maximaal drie en een half jaar; tijdens deze periode worden de API-persoonsgegevens niet gebruikt om toegang te krijgen tot de PNR-gegevens over dezelfde persoon, tenzij het PNR-dossier opnieuw wordt gepersonaliseerd in de omstandigheden als beschreven in punt b.

9. Si des données IPV et DP se rapportent à une personne faisant l’objet d’une enquête au Canada pour l’une des raisons décrites au paragraphe 2, elles seront mémorisées dans une base de données d’exécution de l’ASFC. Ces bases de données ne contiennent que des informations concernant les personnes ayant fait l’objet d’une enquête ou qui sont soumises à des mesures de contrôle aux termes de la législation de l’ASFC. L’accès à ces bases de données est étroitement surveillé et réservé aux agents de l’ASFC dont les fonctions l’exigent. Les données IPV et DP qui sont transférées vers ce type de base de données ne resteront pas dans ce système plus longtemps que ce qui est nécessaire et, en tout cas, pour une période n’excédant pas six ans au terme de laquelle elles seront détruites à moins qu’elles ne doivent être conservées pendant une période supplémentaire en raison des dispositions de la Loi sur la protection des renseignements personnels et de la Loi sur l’accès à l’information, comme cela est expliqué à l’alinéa 10 b.

9. Indien de API- en PNR-gegevens betrekking hebben op een persoon tegen wie in Canada een onderzoek loopt in verband met een van de in punt 2 genoemde doelen, worden zij in een CBSA-gegevensbank voor rechtshandhaving opgenomen. Deze gegevensbanken bevatten alleen informatie met betrekking tot personen tegen wie uit hoofde van de CBSA-wetgeving een onderzoek gaande is of rechtshandhavingsmiddelen zijn gebruikt. Tot deze gegevensbanken hebben alleen die CBSA-ambtenaren toegang wier opdracht dit noodzakelijk maakt; hierop wordt nauwgezet toegezien. De API- en PNR-gegevens die naar een dergelijke gegevensbank voor rechtshandhaving worden doorgegeven, blijven daarin niet langer dan nodig opgeslagen, in elk geval niet langer dan zes jaar; daarna worden zij vernietigd tenzij hun bewaring voor een extra periode vereist wordt door de "Privacy Act" of de "Access to Information Act", zoals uitgelegd in punt 10b.

10. Si des informations personnelles sont utilisées par l’ASFC en vue d’une prise de décision affectant les intérêts de la personne concernée, elles doivent être conservées par l’ASFC pendant deux ans à partir de la date de cette utilisation afin que la personne concernée puisse accéder aux informations ayant servi de base à ce type de décision, à moins que la personne concernée consente à leur destruction avant ce délai ou qu’une demande d’accès aux informations ait été reçue; dans ce cas, les données doivent être conservées aussi longtemps que la personne concernée ait eu la possibilité d’exercer tous ses droits dans le cadre de la Loi sur la protection des renseignements personnels ou de la Loi sur l’accès à l’information.

10. Indien de CBSA gebruik maakt van persoonsgegevens om een besluit te treffen dat voor de belangen van de betrokkene gevolgen heeft, dan moeten deze gegevens door de CBSA voor een periode van 2 jaar te rekenen vanaf het gebruik worden opgeslagen om de betrokkene de kans te geven toegang te krijgen tot de gegevens op basis waarvan het besluit is getroffen. Deze termijn geldt niet wanneer de betrokkene toestemming geeft de gegevens eerder te verwijderen of wanneer een verzoek om inzage is ontvangen, totdat de betrokkene de kans heeft gehad al zijn rechten overeenkomstig de "Privacy Act" of de "Access to information Act" waar te nemen.

(a) Dans le cas de données conservées dans la base de données SIPAX, ce délai de deux ans sera inclus dans la période de trois ans et demi maximale durant laquelle les informations seront conservées dans cette base de données.

(a) Indien gegevens in de PAXIS-gegevensbank zijn opgeslagen, wordt de periode van twee jaar opgenomen in de maximale periode van drie en een halfjaar gedurende welke de gegevens in die gegevensbank worden bewaard.

(b) Dans le cas d’informations conservées dans une base de données d’exécution, les données IPV et DP peuvent être conservées, le cas échéant, pendant une période n’excédant pas six années et être utilisées par l’ASFC aux fins d’enquêtes décrites au paragraphe 9. Ensuite, le délai peut être prolongé de deux ans maximale au cours desquels la personne concernée peut accéder aux données conformément à la Loi sur la protection des renseignements personnels ou à la Loi sur l’accès à l’information, mais l’ASFC ne peut s’en servir à des fins administratives.

(b) Indien gegevens in een gegevensbank voor rechtshandhaving worden bewaard, kunnen API- en PNR-gegevens indien noodzakelijk voor een periode van niet meer dan zes jaar worden bewaard voor gebruik door de CBSA als beschreven in punt 9, en vervolgens voor een aanvullende periode van maximaal twee jaar, waarin de betrokkene inzage in deze gegevens krijgt overeenkomstig de "Privacy Act" of de "Access to Information Act", maar zij voor administratief gebruik door de CBSA niet beschikbaar zijn.

11. À l’expiration des périodes de conservation présentées aux paragraphes 8 à 10, les données IPV et DP seront détruites conformément aux dispositions de la Loi sur les archives nationales [2].

11. Na het verstrijken van de bewaarperioden als beschreven in de punten 8 tot 10 worden de API- en PNR-gegevens vernietigd, overeenkomstig de bepalingen van de "National Archives Act" [2].

Communication de données IPV et DP à d’autres ministères et organismes du Canada

Vrijgave van API- en PNR-gegevens aan andere Canadese ministeries en organen

12. Toutes les communications de données IPV et DP par l’ASFC sont régies par la Loi sur la protection des renseignements personnels, la Loi sur l’accès à l’information et par la propre législation de l’ASFC. Bien que la Loi sur la protection des renseignements personnels et la Loi sur l’accès à l’information autorisent l’accès aux dossiers, à moins qu’une dérogation ou une exclusion s’applique, ces lois n’exigent pas de communication obligatoire de données IPV et DP. Une copie des règles administratives de l’ASFC régissant la communication, la consultation à quiconque et l’utilisation de données IPV et DP (Mémorandum D-1-16-3 intitulé "Lignes directrices administratives provisoires visant la fourniture de renseignements du dossier passager (DP) à quiconque, l’autorisation d’accès à ces renseignements à quiconque et l’utilisation de ces renseignements") sera publiée et accessible au public sur le site Internet de l’ASFC. Cette politique, décrite plus en détail au paragraphe 37 de ces Engagements, prévoit que les données IPV et DP ne peuvent être transmises à d’autres ministères canadiens qu’aux fins fixées au paragraphe 2, à moins que la communication ait lieu dans le cadre d’une convocation, d’un mandat ou d’un arrêt émanant d’un tribunal, d’une personne ou d’une entité ayant pouvoir, au Canada, d’exiger la production d’informations ou pour les besoins de procédures judiciaires.

12. Elke vrijgave van API- en PNR-gegevens door de CBSA is geregeld in de "Privacy Act", de "Access to Information Act" en de eigen wetgeving van de CBSA. Hoewel de "Privacy Act" en de "Access to Information Act" het recht op toegang tot de gegevens verlenen, behoudens uitzonderingen en uitsluitingen, voorziet deze wetgeving niet in de verplichte vrijgave van API- en PNR-gegevens. Een toelichting van de administratieve praktijk van de CBSA inzake vrijgave van, toegang toe en gebruik van API- en PNR-gegevens, nl. Memorandum D-1-16-3, getiteld "Interim Administrative Guidelines for the Disclosure, Access to and Use of Passenger Name Record (PNR) Data", zal worden gepubliceerd en voor het publiek beschikbaar zijn op de website van de CBSA. Dit beleid, dat in punt 37 van deze verbintenissen verder wordt beschreven, voorziet in de mogelijkheid API- en PNR-gegevens mede te delen aan andere ministeries in Canada, uitsluitend voor de in punt 2 genoemde doelen, tenzij de vrijgave geschiedt om te voldoen aan een dagvaarding, aanhoudingsbevel of beschikking van een rechtbank, een andere persoon of een instantie in Canada die de bevoegdheid heeft om de vrijgave van deze gegevens te eisen, of met het oog op rechtsvervolging.

13. Les données IPV et DP ne sont pas communiquées en totalité. L’ASFC ne délivre des données IPV et DP sélectionnées qu’au cas par cas, et seulement après avoir évalué la pertinence de certaines données DP qui doivent être communiquées. Seuls les éléments de données IPV et DP dont il est clairement démontré qu’ils sont nécessaires dans les circonstances données seront fournis. Dans tous les cas, seule une quantité minimale d’informations sera communiquée.

13. De API- en PNR-gegevens worden niet globaal vrijgegeven. De CBSA zal alleen van geval tot geval geselecteerde API- en PNR-gegevens vrijgeven, en alleen nadat zij de relevantie van de vrij te geven gegevens is nagegaan. Alleen die API/PNR-elementen waarvan duidelijk is aangetoond dat ze in de gegeven omstandigheden noodzakelijk zijn, zullen worden verstrekt. In alle gevallen zal zo min mogelijk informatie worden vrijgegeven.

14. L’ASFC ne communiquera des données IPV et DP que si le destinataire prévu s’engage à garantir les mêmes protections que l’ASFC. Les autres services administratifs du Canada sont également, en tant que destinataires de l’information du DP, liés par les exigences de la Loi sur la protection des renseignements personnels dans la mesure où elles sont énumérées dans l’annexe à cette loi. La Loi sur la protection des renseignements personnels s’applique aux données personnelles qui se rapportent à des personnes physiques identifiables, enregistrées sous une forme ou sous une autre, et qui sont contrôlées par le gouvernement fédéral canadien ou par une administration ou une autorité soumise à la loi. Ces ministères ou organismes n’ont pas le droit de collecter des informations personnelles à moins qu’elles "concernent directement un programme de fonctionnement ou une activité de l’institution".

14. De CBSA zal alleen dan API- en PNR-gegevens vrijgeven, indien de ontvangers zich ertoe verbinden de gegevens even goed te beschermen als de CBSA. Ontvangers van PNR-gegevens bij de Canadese overheid zijn ook gebonden door de voorschriften van de "Privacy Act", voorzover zij in de bijlage bij deze wet zijn opgenomen. De "Privacy Act" heeft betrekking op persoonsgegevens die een identificeerbare persoon betreffen, op enigerlei wijze zijn opgeslagen en onder de controle staan van een Canadees ministerie of orgaan dat aan de "Privacy Act" is onderworpen. Deze ministeries of organen mogen geen persoonsgegevens verzamelen tenzij dit rechtstreeks samenhangt met hun arbeidsprogramma of activiteiten.

15. L’ASFC a pour habitude — et il s’agit là d’une condition préalable à toute communication — d’exiger que les organismes d’exécution de la loi fédéraux ou provinciaux du Canada s’engagent à ne pas communiquer à d’autres personnes les informations reçues sans la permission de l’ASFC, à moins que cela ne soit exigé par la loi.

15. De CBSA verlangt in de praktijk en voorafgaand aan vrijgave dat de Canadese federale of provinciale politiediensten zich ertoe verbinden zonder toestemming van de CBSA de ontvangen gegevens niet verder te geven, tenzij dit door de wet wordt voorgeschreven.

Communication de données IPV et DP à d’autres pays

Vrijgave van API- en PNR-gegevens aan andere landen

16. L’ASFC peut communiquer des données IPV et DP au gouvernement d’un État étranger en vertu d’une convention ou d’un accord conformément au paragraphe 8(2) de la Loi sur la protection des renseignements personnels et du paragraphe 107(8) de la Loi sur les douanes.

16. De CBSA kan API- en PNR-gegevens doorgeven aan een buitenlandse regering, overeenkomstig een regeling of overeenkomst volgens onderafdeling 8(2) van de "Privacy Act" en onderafdeling 107(8) van de "Customs Act".

17. Ce type d’accord ou de convention peut inclure un protocole d’entente élaboré spécifiquement pour les besoins du programme DP de l’ASFC, ou un traité en vertu duquel les autorités de l’ASFC sont invitées à fournir aide et informations. Dans les deux cas, les informations ne seront communiquées que pour un objectif qui soit conforme à ceux fixés au paragraphe 2, et seulement si le pays destinataire promet de garantir la protection des informations conformément à ces Engagements. Dans tous les cas, seule une quantité minimale d’informations sera transmise à l’autre pays.

17. Dergelijke regelingen of overeenkomsten kunnen een memorandum van overeenstemming omvatten dat specifiek is ontworpen voor de doelstellingen van het PNR-programma van de CBSA, of een verdrag dat de CBSA-autoriteiten ertoe verplicht bijstand en informatie te verstrekken. In beide gevallen zal de informatie slechts worden doorgegeven voor een doel in overeenstemming met punt 2, en alleen indien het ontvangende land zich ertoe verbindt de informatie te beschermen overeenkomstig deze verbintenissen. In alle gevallen zal zo min mogelijk informatie aan het andere land worden verstrekt.

18. Les données IPV et DP conservées dans le SIPAX ne seront communiquées qu’à un pays dont le niveau adéquat de protection a été certifié conforme au sens de la directive ou qui doit appliquer cette directive.

18. De in PAXIS opgeslagen API- en PNR-gegevens worden alleen doorgegeven aan een land waarvoor overeenkomstig de richtlijn een passend beschermingsniveau is vastgesteld of waarop de richtlijn van toepassing is.

19. Les données IPV et DP conservées dans une base de données d’exécution décrite au paragraphe 9 peuvent être communiquées conformément aux obligations conventionnelles dans le cadre d’un accord mutuel d’assistance dans le domaine douanier ou d’un accord mutuel d’assistance dans le domaine juridique. Dans ce cas, les éléments de données IPV et DP ne seront communiqués qu’au cas par cas et à condition que l’ASFC possède la preuve d’un lien direct entre la demande et l’enquête ou la prévention de crimes mentionnés au paragraphe 2, et seulement si les éléments de données fournis sont absolument nécessaires pour poursuivre l’enquête spécifique en question.

19. API- en PNR-gegevens die in een gegevensbank voor rechtshandhaving als beschreven in punt 9 zijn opgenomen, kunnen worden doorgegeven in overeenstemming met verdragsverplichtingen in het kader van een douaneregeling voor wederzijdse bijstand ("Customs Mutual Assistance Agreement") of een regeling voor wederzijdse rechtsbijstand ("Mutual Legal Assistance Agreement"). In dit geval worden de API- en PNR-gegevens alleen van geval tot geval vrijgegeven en alleen indien de CBSA over bewijsmateriaal beschikt dat de aanvraag rechtstreeks in verband brengt met een onderzoek of de voorkoming van misdrijven als bedoeld in punt 2, en uitsluitend in die mate dat de verstrekte gegevens strikt noodzakelijk zijn voor het specifieke onderzoek in kwestie.

Communication de données IPV et DP dans l’intérêt vital de la personne concernée

Vrijgave van API- en PNR-gegevens vanwege de bescherming van de vitale belangen van de betrokkene

20. Nonobstant toute disposition contraire dans les Engagements, l’ASFC peut communiquer des données IPV et DP aux ministères et aux organismes du Canada ou de pays étrangers si la communication est nécessaire à la protection des intérêts vitaux de la personne concernée ou d’autres personnes, en particulier en cas de risques importants pour la santé.

20. Mits deze verbintenissen het toestaan, kan de CBSA API- en PNR-gegevens vrijgeven aan de desbetreffende Canadese en andere overheidsministeries en -organen indien deze vrijgave noodzakelijk is voor de bescherming van de vitale belangen van de betrokkene of van andere personen, meer bepaald wanneer het gaat om belangrijke gezondheidsrisico’s.

Notification à la personne concernée

Kennisgeving aan de betrokkene

21. L’ASFC informera les voyageurs des exigences relatives aux IPV et au DP ainsi qu’aux aspects liés à leur utilisation, notamment les informations générales concernant l’autorité responsable de la collecte des données, l’objectif de la collecte, la protection garantie des données, le type de communication des données et son importance, l’identité des agents responsables de l’ASFC ainsi que les procédures de recours et les points de contact auxquels les personnes peuvent soumettre des questions ou d’éventuels problèmes.

21. De CBSA zal aan de passagiers informatie verstrekken over de API- en PNR-vereisten en over kwesties in verband met het gebruik van deze gegevens, m.i.v. algemene informatie over de bevoegdheid om deze gegevens te verzamelen, het doel van de verzameling, de bescherming van de gegevens, de manier waarop en de mate waarin de gegevens zullen worden doorgegeven, de identiteit van de verantwoordelijke CBSA-ambtenaren, mogelijke verhaalprocedures en contactadressen voor mensen die vragen hebben of problemen.

Mécanismes de contrôle juridique du programme DP de l’ASFC

Wettelijke herzieningsmechanismen voor het PNR-programma van de CBSA

22. Le programme DP peut faire l’objet de contrôles et d’enquêtes de conformité de la part du Commissariat du Canada à la protection de la vie privée et du Bureau du Vérificateur général du Canada.

22. Het PNR-programma kan door de "Privacy Commissioner of Canada" en het "Office of the Auditor General of Canada" worden onderworpen aan nalevingscontroles en onderzoeken.

23. L’autorité indépendante de protection des données du Canada, le Commissariat à la protection de la vie privée, peut contrôler le respect des dispositions de la Loi sur la protection des renseignements personnels par les ministères et les organismes et peut vérifier dans quelle mesure l’ASFC respecte les Engagements. Sur la base d’objectifs et de critères standards reconnus, la Direction des examens et des pratiques en matière de vie privée du Commissariat à la protection de la vie privée du Canada peut effectuer des contrôles de conformité ainsi que des enquêtes. Ce Commissariat canadien peut communiquer des informations qui, à son avis, sont nécessaires pour mener une enquête en vertu de la loi ou pour justifier des constatations et des recommandations figurant dans des rapports établis conformément à la loi.

23. De onafhankelijke gegevensbeschermingsautoriteit in Canada, de "Privacy Commissioner of Canada", kan de naleving van de "Privacy Act" door de ministeries en overheidsorganen onderzoeken, en nagaan in hoeverre de CBSA deze verbintenissen nakomt. Volgens algemeen aanvaarde standaarddoelstellingen en -criteria kan de "Privacy Practices and Review Branch" van het "Office of the Privacy Commissioner" nalevingscontroles en onderzoeken verrichten. De "Privacy Commissioner of Canada" mag informatie vrijgeven die zijns inziens noodzakelijk is om in het kader van de "Privacy Act" een onderzoek te verrichten of om de gronden vast te stellen voor bevindingen en aanbevelingen die in een verslag op grond van de "Privacy Act" worden gedaan.

24. Le Bureau du vérificateur général du Canada effectue des vérifications indépendantes des mesures prises par le gouvernement fédéral. Ces vérifications fournissent aux députés du Parlement canadien et aux Canadiens des informations objectives leur permettant d’évaluer les actions du gouvernement et d’amener ce dernier à rendre des comptes.

24. Het "Office of the Auditor General of Canada" verricht onafhankelijke audits van de werkzaamheden van de Canadese federale regering. Deze audits bieden de Canadese parlementsleden en het publiek objectieve informatie om de werkzaamheden van de regering te toetsen en deze ter verantwoording te roepen.

25. Les versions définitives des rapports du Bureau du Commissariat à la protection de la vie privée et du Bureau du vérificateur général sont portées à la connaissance du public par le biais de rapports annuels transmis au Parlement et, si ces deux bureaux le jugent utile, qui peuvent être consultés sur Internet. L’ASFC permettra au Commissariat d’accéder à tous les rapports de ce type qui, d’une manière ou d’une autre, concernent le programme DP.

25. De definitieve verslagen van het "Office of the Privacy Commissioner" en het "Office of the Auditor General" worden door middel van jaarverslagen aan het parlement bekendgemaakt aan het publiek en eventueel op Internet beschikbaar gesteld. De CBSA zal de Commissie een kopie ter beschikking stellen van alle verslagen die op een of andere manier verband houden met het PNR-programma.

Contrôle commun du programme DP de l’ASFC

Gezamenlijke herziening van het PNR-programma van de CBSA

26. Outre les méthodes de contrôle mentionnées ci-dessus, qui sont prévues par le droit canadien, l’ASFC participera chaque année, ou dès que cela sera nécessaire et après accord avec la Commissariat, à un contrôle commun du programme DP concernant les transferts de données IPV et DP à l’ASFC.

26. Naast de bovengenoemde herzieningsprocedures waarin in Canada bij wet is voorzien, zal de CBSA in overleg met de Commissie jaarlijks of zo vaak als nodig deelnemen aan een gezamenlijke herziening van het PNR-programma met betrekking tot de doorgifte van API- en PNR-gegevens aan de CBSA.

Voie de recours

Verhaalmogelijkheden

Cadre juridique

Wettelijk kader

27. La Charte canadienne des droits et des libertés, qui fait partie de la Constitution canadienne, s’applique à toutes les mesures du gouvernement, y compris la législation. L’article 8 de la Charte prévoit que les personnes ont le droit d’être protégées contre toute perquisition et saisie abusives et sont raisonnablement en droit d’attendre également une protection de leur vie privée. L’article 24 de la Charte permet à une personne dont les droits ont été enfreints de saisir un tribunal pour obtenir une réparation qu’il estime convenable eu égard aux circonstances.

27. Het Canadese handvest van rechten en vrijheden ("Charter of Rights and Freedoms"), dat een onderdeel is van de Canadese grondwet, is van toepassing op alle werkzaamheden van de regering, inclusief de wetgeving. Afdeling 8 van het handvest voorziet in het recht beschermd te worden tegen onredelijke controle en inbeslagneming en garandeert een redelijke verwachting van privacy. Afdeling 24 van het handvest biedt een persoon wiens rechten zijn geschonden de mogelijkheid in beroep te gaan bij een bevoegde rechtbank met het oog op een schikking zoals de rechtbank die in de omstandigheden als passend en terecht beschouwt.

28. Le droit, pour un ressortissant étranger, d’avoir connaissance d'enregistrements dont dispose un ministère fédéral canadien est accordé à toutes les personnes se trouvant au Canada grâce au décret d’extension numéro 1 de la Loi sur l’accès à l’information (LAI). Un ressortissant étranger au Canada ou une personne présente au Canada, ayant l’autorisation de l’étranger non présent au Canada, peut demander, dans le cadre de la LAI, des informations concernant l’étranger et avoir accès à ces informations sauf dans un nombre de cas limité de dérogations et d’exclusions particulières prévues par la Loi.

28. Het recht van een buitenlander om toegang te krijgen tot gegevens waarover een Canadees ministerie beschikt, wordt krachtens "Extension Order Number 1" van de "Access to Information Act" (ATIA) toegekend aan een ieder die in Canada aanwezig is. Behoudens uitzonderingen waarin deze wet voorziet, kan een buitenlander die in Canada aanwezig is, of een in Canada aanwezige persoon namens een niet in Canada aanwezige buitenlander, een ATIA-verzoek indienen voor gegevens die de buitenlander betreffen en toegang tot deze gegevens krijgen, behalve wanneer enkele specifieke en beperkte uitzonderingen en uitsluitingen in de betrokken wet van toepassing zijn.

29. D’après la Loi sur la protection des renseignements personnels, le droit d’accéder aux renseignements personnels et de demander des rectifications ou de faire des oppositions est étendu, par le décret d’extension numéro 2, à toute personne se trouvant au Canada. En conséquence, un étranger peut exercer ces droits s’il est présent au Canada sauf exceptions prévues dans la Loi.

29. Krachtens de "Privacy Act" wordt het recht van toegang tot persoonsgegevens en het recht van rectificatie en aantekening bij "Extension Order Number 2" uitgebreid tot een ieder die in Canada aanwezig is. Dit betekent dat, behoudens wettelijke uitzonderingen, een buitenlander deze rechten kan waarnemen alsof hij in Canada aanwezig was.

Cadre administratif

Administratief kader

30. De plus, un ministère qui détient des informations sur une personne peut, par voie administrative, garantir aux étrangers non présents au Canada un droit d’accès, de rectification et d’annotation. En ce qui concerne les données IPV et DP en sa possession, l’ASFC étendra ces droits aux citoyens de l’UE ou à d’autres personnes non présentes au Canada, à condition que la communication soit autorisée par la Loi.

30. Daarnaast kan echter het ministerie dat persoonsgegevens van iemand bewaart langs administratieve weg het recht op toegang, rectificatie en aantekening verlenen aan buitenlanders die niet in Canada aanwezig zijn. De CBSA zal deze rechten voor API- en PNR-gegevens in haar bezit uitbreiden tot EU-burgers of andere personen die niet in Canada aanwezig zijn, op voorwaarde dat andere wettelijke bepalingen hieraan niet in de weg staan.

31. Le Commissariat à la protection de la vie privée peut prendre l’initiative d’une plainte s’il a des motifs raisonnables de croire qu’une enquête devrait être menée sur une question relative à l’application de la Loi sur la protection des renseignements personnels; il dispose de larges pouvoirs d’investigation concernant toute plainte. De plus, il peut examiner les plaintes qui lui sont transmises par les autorités de protection des données (APD) de tout État membre de l’Union européenne (UE) pour le compte d’un résident de l’UE, dans la mesure où ce résident a autorisé les APD à agir en son nom et où il estime que sa plainte concernant la protection des données concernant les IPV et les DP n’a pas été traitée de manière satisfaisante par l’ASFC, conformément aux dispositions du paragraphe 30 ci-dessus. Le Commissariat à la protection de la vie privée communiquera ses conclusions et informera l’APD ou les APD concernée(s) sur d’éventuelles actions.

31. De "Privacy Commissioner" kan een klacht indienen als blijkt dat er redelijke gronden zijn om een aangelegenheid krachtens de "Privacy Act" te onderzoeken en beschikt in dit verband over ruime onderzoeksbevoegdheden. Daarnaast kan de "Privacy Commissioner" klachten behandelen die naar hem worden doorverwezen door de gegevensbeschermingsautoriteiten van een der lidstaten van de Europese Unie namens een EU-burger, voorzover deze de gegevensbeschermingsautoriteiten heeft gemachtigd namens hem op te treden en van oordeel is dat zijn klacht inzake de bescherming van API- en PNR-gegevens door de CBSA niet op een bevredigende manier is behandeld als beschreven in punt 30. De "Privacy Commissioner" zal verslag uitbrengen van zijn conclusies en de gegevensbeschermingsautoriteit(en) in kennis stellen van de eventueel te nemen maatregelen.

32. Le Commissariat à la protection de la vie privée dispose également de pouvoirs spéciaux pour déterminer dans quelle mesure les ministères et les organismes du gouvernement canadien respectent les dispositions de la Loi sur la protection des renseignements personnels en ce qui concerne la collecte, la conservation, l’utilisation, la communication et la destruction de renseignements personnels.

32. De "Privacy Commissioner" heeft ook speciale onderzoeksbevoegdheden om na te gaan in hoeverre de Canadese ministeries en overheidsorganen met betrekking tot het verzamelen, bewaren, gebruiken, vrijgeven en terbeschikkingstellen van persoonsgegevens de "Privacy Act" nakomen.

Sécurité de l’information

Veiligheid van de informatie

33. L’accès au SIPAX ne sera accordé qu’à un nombre limité de responsables du ciblage et du renseignement situés dans des unités du ciblage des passagers au sein de bureaux régionaux canadiens, ainsi qu’à l’Administration centrale de l’ASFC à Ottawa. Ces agents auront accès au SIPAX dans un environnement sécurisé inaccessible au public.

33. Toegang tot het PAXIS-systeem zal slechts worden verleend aan een beperkt aantal CBSA-opsporings- en -veiligheidsambtenaren in de "Passenger Targeting Units" in de Canadese regionale bureau’s en op het nationale CBSA-hoofdkwartier in Ottawa. Zij krijgen toegang tot het PAXIS-systeem in een beveiligde werkomgeving die voor het publiek niet toegankelijk is.

34. Pour accéder au SIPAX, les agents devront utiliser deux logins différents, un code utilisateur attribué par le système et un mot de passe. Le premier login donnera accès au réseau local de l’ASFC et le second à la plate-forme du Système intégré des douanes qui permet d’accéder l’application du SIPAX. L’accès au réseau de l’ASFC et à toute donnée contenue dans le SIPAX sera strictement contrôlé et limité à un groupe sélectionné d’utilisateurs; toute question et tout contrôle des données concernant des passagers dans le système seront vérifiés. Le rapport de vérification établi contiendra le nom de l’utilisateur, l’indication du poste de travail de l’utilisateur, la date et l’heure d’accès ainsi que le numéro de fichier DP des données consultées. L’ASFC restreindra également l’accès à des éléments de données IPV et DP particuliers dans le système aux personnes qui ont "besoin de savoir" en fonction du type/du profil de l’utilisateur. Ces contrôles garantiront que seules les personnes décrites au paragraphe 33 ont accès aux informations IPV et DP, et ce, pour les objectifs fixés au paragraphe 2.

34. Om toegang te krijgen tot het PAXIS-systeem moeten de ambtenaren gebruik maken van twee afzonderlijke logins, onder gebruikmaking van een gebruikers-ID en wachtwoord die door het systeem worden gegenereerd. De eerste login geeft toegang tot het lokale netwerk van de CBSA en de tweede tot het "Integrated Customs System platform" dat op zijn beurt toegang geeft tot het PAXIS-systeem. De toegang tot het CBSA-netwerk en de gegevens van het PAXIS-systeem wordt strikt gecontroleerd en beperkt tot de selecte gebruikersgroep; op elke opvraging en herziening van passagiersgegevens in het systeem zal toezicht worden uitgeoefend. Het toezichtsdocument bevat de gebruikersnaam, de werkplek van de gebruiker, datum en uur van de toegang en het PNR-locatienummer voor de geconsulteerde gegevens. De CBSA zal voor bijzondere API- en PNR-gegevenselementen de toegang binnen het systeem ook beperken op basis van het gebruikerstype/-profiel dat de betrokken ambtenaar moet kennen ("need to know"). Door deze controles op de toegang wordt gegarandeerd dat alleen de in punt 33 bedoelde personen toegang krijgen tot API- en PNR-gegevens voor de in punt 2 opgesomde doelen.

35. La consultation, l’utilisation et la communication de données IPV et DP sont régies par la Loi sur la protection des renseignements personnels, la Loi sur l’accès à l’information ainsi que par l’article 107 de la Loi sur les douanes et les règles administratives décrites au paragraphe 37 des Engagements qui illustrent les mesures de protection et de sécurité définies dans le présent document. L’article 160 de la Loi sur les douanes et les codes internes de conduite prévoient des sanctions pénales et autres si ces dispositions ne sont pas respectées; comme mentionné ci-dessus, le Commissariat à la protection de la vie privée est autorisé par la Loi sur la protection des renseignements personnels à engager une enquête concernant la communication de renseignements personnels.

35. De toegang tot en het gebruik en de vrijgave van API- en PNR-gegevens worden geregeld door de "Privacy Act", de "Access to Information Act", afdeling 107 van de "Customs Act" en de administratieve praktijk als beschreven in punt 37 van deze verbintenissen, die een uitdrukking zijn van de beschermingsmaatregelen en garanties die in dit document worden beschreven. Afdeling 160 van de "Customs Act" en de interne gedragscodes voorzien bij niet-naleving in strafrechtelijke en andere sancties, en, zoals boven aangegeven, heeft de "Privacy Commissioner" krachtens de "Privacy Act" de bevoegdheid een onderzoek te starten met betrekking tot de vrijgave van persoonsgegevens.

36. La politique de communication de données DP de l’ASFC fixe les procédures que doit appliquer le personnel de l’ASFC ayant accès aux données IPV et DP. La politique de l’ASFC consiste à garantir un traitement confidentiel des données et à gérer les informations conformément à la législation canadienne ainsi qu’à la politique de l’ASFC et du gouvernement canadien en matière de gestion et de sécurité des informations, décrite au paragraphe 38.

36. Het vrijgavebeleid van de CBSA inzake PNR-gegevens omvat de procedures die moeten worden gevolgd door alle CBSA-ambtenaren die toegang hebben tot API- en PNR-gegevens. Het beleid van de CBSA is erop gericht de vertrouwelijkheid van de gegevens te bewaren en de gegevens te beheren overeenkomstig de in de Canadese wetgeving vastgestelde bevoegdheden, alsook de beleidslijnen van de CBSA en de Canadese regering inzake het beheer en de veiligheid van de informatie, zoals beschreven in punt 38.

37. La politique de communication de données DP de l’ASFC prévoit:

37. Het vrijgavebeleid van de CBSA voor PNR-gegevens voorziet erin dat:

(a) qu’un agent peut communiquer des données IPV et DP, en autoriser l’accès ou les utiliser uniquement lorsque la loi l’y autorise et s’il respecte la politique;

(a) een ambtenaar API- en PNR-gegevens alleen dan mag vrijgeven, er toegang toe mag verlenen of mag gebruiken indien dit wettelijk is toegestaan en in overeenstemming is met het beleid;

(b) que les agents devraient prendre toutes les mesures appropriées pour garantir que seules des informations essentielles sont communiquées à des tiers;

(b) de ambtenaren alle noodzakelijke voorzorgen moeten nemen om te garanderen dat alleen essentiële informatie aan derden wordt vrijgegeven;

(c) que les informations ne seront communiquées que dans un but spécifique et autorisé et seront limitées à la quantité minimale requise pour l’objectif visé;

(c) informatie alleen voor een specifiek geautoriseerd doel wordt vrijgegeven en beperkt blijft tot de minimale hoeveelheid voor dat doel benodigde informatie;

(d) que les informations ne seront fournies ou ne seront accessibles qu’à des personnes devant les consulter dans le cadre de leur activité professionnelle; et

(d) informatie alleen wordt verstrekt aan of opengesteld voor personen die beroepshalve deze informatie moeten zien; en

(e) que, sous réserve des dispositions de la Loi sur la protection des renseignements personnels, de la Loi sur l’accès à l’information et de la Loi sur les archives nationales du Canada, toute information communiquée sera détruite ou renvoyée après avoir été utilisée, conformément aux politiques de gestion de l’information de l’ASFC et du Conseil du trésor du Canada.

(e) overeenkomstig de "Privacy Act", de "Access to Information Act" en de "National Archives Act" elke vrijgegeven informatie na gebruik wordt vernietigd of teruggegeven, zoals voorgeschreven door de beleidslijnen voor informatiebeheer van de CBSA en de "Treasury Board of Canada".

38. La politique de communication des données DP de l’ASFC fait partie de plusieurs autres de ses politiques concernant la protection et la gestion des informations collectées conformément à son mandat légal. En outre, tout le personnel de l’ASFC s’engage à respecter les politiques de sécurité du gouvernement canadien concernant la protection des systèmes électroniques et la protection des données [3].

38. Het vrijgavebeleid van de CBSA voor PNR-gegevens valt onder een hele reeks overkoepelende CBSA-beleidslijnen voor de bescherming en het beheer van informatie die wordt verzameld overeenkomstig de verschillende CBSA-verordeningen. Daarnaast zijn alle CBSA-ambtenaren gebonden door het veiligheidsbeleid van de Canadese regering met betrekking tot de bescherming van elektronische systemen en de gegevensbescherming [3].

39. Les personnes travaillant à l’ASFC connaissent ces politiques et les conséquences de leur inobservation et savent que leur respect est une condition de leur emploi.

39. Alle CBSA-ambtenaren kennen deze bepalingen en de gevolgen van niet-naleving; acceptatie ervan is een voorwaarde voor aanstelling.

Réciprocité

Wederkerigheid

40. La Loi sur l’aéronautique autorise les compagnies aériennes canadiennes — quel que soit l’aéroport de départ — ou toute compagnie aérienne partant du Canada à fournir à un État étranger des informations concernant des personnes à bord de ses vols et à destination de cet État si la législation de l’État en question exige la fourniture de données.

40. De "Aeronautics Act" staat Canadese luchtvaartmaatschappijen, ongeacht van welke bestemming zij vertrekken, of luchtvaartmaatschappijen die vluchten vanuit Canada verzorgen, toe een vreemde mogendheid informatie te verstrekken over personen aan boord van deze vluchten die dat land als bestemming hebben, indien de wetten van het betrokken land dit vereisen.

41. Si la Communauté européenne, l’Union européenne ou l’un de ses États membres décide d’introduire un système d’identification des passagers aériens et adopte une législation imposant aux transporteurs aériens de donner aux autorités européennes un accès aux données IPV et DP des passagers dont le voyage en cours inclut un vol à destination de l’Union européenne, l’article 4.83 de la Loi sur aéronautique permettra aux transporteurs aériens de donner suite à cette demande.

41. Indien de Europese Gemeenschap, de Europese Unie of een van haar lidstaten besluiten een identificatiesysteem voor passagiers in te stellen en in hun wetgeving alle luchtvaartmaatschappijen ertoe verplichten om de Europese autoriteiten toegang te verlenen tot de API- en PNR-gegevens van alle passagiers die de Europese Unie tot bestemming hebben, staat artikel 4.83 van de "Aeronautics Act" de luchtvaartmaatschappijen toe aan deze eis te voldoen.

Révision et expiration des Engagements

Herziening en beëindiging van de verbintenissen

42. Ces Engagements seront applicables durant une période de trois ans et six mois (trois ans et demi) à compter de la date d’entrée en vigueur d’un accord entre le Canada et la Communauté européenne autorisant le traitement de données IPV et DP par les compagnies aériennes pour les transmettre à l’ASFC, conformément à la directive. Après une période de deux ans et six mois (deux ans et demi) de mise en œuvre des présents Engagements, l’ASFC entamera des discussions avec la Commission dans le but d’étendre les Engagements et toute disposition connexe éventuelle, dans des conditions acceptables pour les deux parties. Si aucun accord acceptable pour les deux parties ne peut être conclu avant la date d’expiration des présents Engagements, ceux-ci cesseront d’être applicables aux données collectées à partir de ce moment-là. Les données collectées durant la période de validité des Engagements continueront à être protégées par les clauses de ces Engagements jusqu’à ce qu’elles soient supprimées.

42. Deze verbintenissen gelden voor een periode van drie jaar en zes maanden (3,5 jaar), gerekend vanaf de datum waarop tussen Canada en de Europese Gemeenschap een overeenkomst in werking treedt waarbij de verwerking van API- en PNR-gegevens door luchtvaartmaatschappijen met het oog op de doorgifte ervan naar de CBSA overeenkomstig de desbetreffende richtlijn wordt toegestaan. Nadat deze verbintenissen twee jaar en zes maanden (2,5 jaar) zijn toegepast, zal de CBSA besprekingen gaan voeren met de Commissie om de verbintenissen en alle ondersteunende maatregelen onder wederzijds aanvaardbare voorwaarden uit te breiden. Indien geen wederzijds aanvaardbare regeling kan worden getroffen vóór de datum waarop deze verbintenissen verlopen, zullen de verbintenissen vervallen voor alle gegevens die daarna zijn verzameld. Gegevens die tijdens de geldigheidsperiode van deze verbintenissen zijn verzameld, blijven op grond van deze verbintenissen beschermd tot de gegevens worden vernietigd.

43. L’ASFC remplit ses Engagements en appliquant la loi canadienne en vigueur ou, en cas d’engagements qui ne sont pas déjà couverts par la législation canadienne, par des règlements conçus spécifiquement dans ce but.

43. De CBSA komt de verbintenissen na door de toepassing van de bestaande Canadese wetgeving, of, voor gebieden waar de wetgeving niet volstaat, door speciaal opgestelde regelingen of langs administratieve weg.

[1] Les paragraphes 3 (a) à (f) contiennent les données API suivantes : (a) le nom de famille, le prénom et éventuellement d’autres prénoms de la personne concernée ; (b) la date de naissance; (c) le sexe; (d) la citoyenneté ou la nationalité; (e) le type et le numéro du document de voyage qui identifie la personne et le nom du pays où ce document a été délivré; (f) éventuellement, le numéro du dossier de réservation ou, s’il s’agit du responsable du moyen de transport commercial ou de tout autre membre de l’équipage qui n’a pas de numéro de dossier de réservation, l’avis de sa qualité de membre d’équipage.

[1] De punten 3(a) tot (f) omvatten de volgende API-gegevens: (a) naam en voornaam of voornamen van de passagier; (b) geboortedatum; (c) geslacht; (d) staatsburgerschap of nationaliteit; (e) het soort reisdocument waarmee de persoon zich identificeert, de naam van het land waar het reisdocument is afgegeven en het nummer van het reisdocument; (f) het boekingsbestandslocatienummer, indien beschikbaar, en, voor een persoon belast met het commerciële vervoer of elk ander bemanningslid zonder boekingsbestandslocatienummer, het bewijs van zijn of haar status als bemanningslid.

[2] Cette loi précise les formalités à remplir avant que les archives administratives puissent être détruites.

[2] Deze wet stelt de formaliteiten vast die in acht genomen moeten worden voor de vernietiging van overheidsstukken.

[3] Ces politiques comprennent : la Politique du gouvernement sur la sécurité, publiée par la Secrétariat du Conseil du Trésor le 1er février 2002, et la Norme opérationnelle de sécurité des technologies de l’information (GSTI), publiée par le Secrétariat du Conseil du Trésor le 31 mai 2004.

[3] De beleidslijnen waarnaar wordt verwezen zijn onder meer: "Government Security Policy", gepubliceerd door het secretariaat van de "Treasury Board of Canada" op 1 februari 2002, en "Operational Security Standard: Management of Information Technology Security (MITS)", gepubliceerd door het secretariaat van de "Treasury Board of Canada" op 31 mei 2004.

--------------------------------------------------

--------------------------------------------------

ANNEXE "A"

AANHANGSEL "A"

RUBRIQUES DES DP DEMANDÉES PAR L’ASFC AUX COMPAGNIES AÉRIENNES

PNR-GEGEVENSELEMENTEN DIE DE CBSA VAN LUCHTVAARTMAATSCHAPPIJEN VERLANGT

1. Nom

1. Naam

2. Données IPV

2. API-gegevens

3. Code repère du dossier DP

3. PNR-bestandslocatiecode

4. Date(s) prévue(s) du voyage

4. Geplande reisdatum

5. Date de réservation

5. Boekingsdatum

6. Date d’émission du billet

6. Uitgiftedatum reisbiljet

7. Agences de voyage

7. Reisbureau

8. Agent de voyage

8. Reisagent

9. Numéro de téléphone

9. Contacttelefoon

10. Adresse de facturation

10. Factuuradres

11. Modes de paiement

11. Alle informatie over de betalingswijze

12. Informations "grands voyageurs"

12. "Frequent Flyer"-gegevens

13. Informations sur l’établissement des billets

13. Informatie uit het reisbiljetveld ("ticketing field"-informatie)

14. Numéro du billet

14. Ticketnummer

15. DP scindé/divisé

15. Opgesplitste/opgedeelde PNR-informatie ("split/divided PNR")

16. Passager de dernière minute sans réservation

16. "Go-show"-informatie

17. Passager répertorié comme défaillant

17. "No-show"-historiek

18. Informations sur l’ensemble du voyage

18. Informatie over volledige reisroute

19. Information Stand-by

19. "Standby"-informatie

20. Autres noms figurant dans le DP

20. Andere namen in het PNR

21. Séquence d’enregistrement

21. Volgorde check-in

22. Numéros d’étiquetage des bagages

22. Bagagebiljetnummers

23. Informations relatives au siège occupé

23. Informatie over de zitplaats

24. Numéro du siège occupé

24. Zitplaatsnummer

25. Allers simples

25. Enkele-reisbiljetten

--------------------------------------------------

--------------------------------------------------