MEDDELELSE FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET OG RÅDET - Overførsel af PNR-oplysninger: overordnet EU-strategi

1. Indledning og baggrund

USA vedtog efter terrorangrebet den 11. september 2001 en ny lovgivning i november 2001, der pålægger luftfartsselskaber, der beflyver ruter til, fra eller gennem USA, at give de amerikanske told- og grænsekontrolmyndigheder elektronisk adgang til de oplysninger, der er registreret i deres elektroniske reservations- og afgangskontrolsystemer, også kaldet PNR-oplysninger (Passenger Name Records). Kommissionen, som anerkender USA's legitime sikkerhedsinteresser på dette område, informerede allerede i juni 2002 de amerikanske myndigheder om, at disse krav kunne være i konflikt med Fællesskabets og medlemsstaternes lovgivning om databeskyttelse [1] samt med visse bestemmelser i forordningen om edb-reservationssystemer (CRS). [2] De amerikanske myndigheder udsatte datoen for de nye kravs ikrafttrædelse, men afviste i sidste instans at undlade at anvende sanktioner mod de luftfartsselskaber, der efter den 5. marts 2003 ikke overholder kravene. Adskillige større luftfartselskaber i EU har lige siden givet de amerikanske myndigheder adgang til deres PNR.

[1] Se især Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger, EFT L 281 af 23.11.1995, s. 31.

[2] Rådets forordning (EØF) nr. 2299/89 af 24. juli 1989 om en adfærdskodeks for edb-reservationssystemer, EFT L 220 af 29.7.1989 s. 1. Senest ændret ved Rådets forordning (EF) nr. 323/1999 af 8.2.1999, EFT L 40 af 13.2.1999, s. 1.

Kommissionen og de amerikanske myndigheder udstedte den 18. februar 2003 en fælles erklæring, hvori de giver udtryk for deres fælles interesse i at bekæmpe terrorisme, fastsætter en forpligtelseserklæring vedrørende databeskyttelse fra de amerikanske told- og grænsekontrolmyndigheder, og tager ad notam, at parterne forpligter sig til at fortsætte forhandlingerne med henblik på at give Kommissionen mulighed for at vedtage en beslutning i henhold til artikel 25, stk. 6, i databeskyttelsesdirektiv 95/45/EF, hvormed det konstateres, at databeskyttelsesniveauet for overførte oplysninger anses for at være tilstrækkeligt. Formålet med forhandlingerne har således været at bringe de amerikanske myndigheders anvendelse og beskyttelse af PNR-oplysninger i overensstemmelse med EU's standarder.

I mellemtiden har andre tredjelande, herunder Canada og Australien, anmodet eller overvejet at anmode om adgang til PNR-oplysninger. Visse medlemsstater overvejer ligeledes muligheden for at anvende PNR-oplysninger til luftfartssikkerheds- og grænsekontrolformål.

Europa-Parlamentet opfordrede i to beslutninger af henholdsvis 13. marts 2003 [3] og 9. oktober 2003 [4] Kommissionen til at træffe en række foranstaltninger med hensyn til overførslen af PNR-oplysninger til USA for at sikre, at der tages behørigt hensyn til europæisk databeskyttelsespraksis.

[3] P5_TA(2003)0097

[4] P5_TA(2003)0429

Kommissionen er enig med Europa-Parlamentet i, at der hurtigst muligt skal findes en løsning på de problemer, der skyldes tredjelandes og især USA's anmodning om PNR-oplysninger. En sådan løsning skal være retligt velfunderet. Den skal ikke kun sikre beskyttelsen af borgernes personoplysninger og ret til privatlivets fred, men også deres fysiske sikkerhed. Den skal i alle henseender tage højde for behovet for at bekæmpe terrorisme og international organiseret kriminalitet. Den skal fjerne enhver retsusikkerhed for både europæiske og ikke-europæiske luftfartsselskaber, og den skal gøre det nemmere at rejse, når man overholder de gældende retsforskrifter. Det er dog ikke tilstrækkeligt, at EU begrænser sin indsats til blot at reagere på andres initiativ.

En række medlemsstater har ligeledes vist deres interesse for effektive ordninger, der forbedrer luftfartssikkerheden og grænsekontrollen. Den strategi, som EU vælger, bør således danne basis for et initiativ til en multilateral løsning, idet dette i praksis er den eneste måde at løse internationale lufttransportproblemer på.

I denne meddelelse fastsættes de elementer, som Kommissionen mener er nødvendige i en overordnet EU-strategi.

2. Hovedelementerne i en overordnet EU-strategi

En global og afbalanceret strategi, som gør det muligt at finde en løsning på de mange forskellige problemstillinger, der bl.a. skyldes den amerikanske lovgivning, som kræver overførsel af PNR, men som også gør det muligt at opfylde en række yderligere behov som anført ovenfor, skal nødvendigvis tage behørigt hensyn til:

- kampen mod terrorisme og international kriminalitet

- retten til beskyttelse af privatlivets fred og de grundlæggende borgerlige rettigheder

- behovet for, at luftfartsselskaberne skal kunne overholde de forskellige retlige krav uden at dette medfører uforholdsmæssige store omkostninger

- hensynet til det generelle forhold mellem USA og EU

- hensynet til flypassagerers sikkerhed og komfort

- hensynet til grænsekontrollen

- den internationale, endog verdensomspændende, dimension af disse forhold.

Enhver strategi, der er unilateral eller ikke gør det muligt at inddrage alle disse indsatsområder, vil ikke være afbalanceret og bæredygtig. Samtidig må man i søgningen efter en virkelig global løsning undgå at forsinke eller forhindre en retlig løsning på det aktuelle problem med overførsel af PNR til USA - for ikke at nævne det stigende pres på de europæiske luftfartsselskaber, der endnu ikke giver USA adgang til deres PNR.

Kommissionens globale strategi består således af følgende elementer:

a. Retlige rammer for den eksisterende overførsel af PNR til USA. Disse retlige rammer vil blive fastlagt i en beslutning fra Kommissionen i henhold til artikel 25, stk. 6, i databeskyttelsesdirektivet (95/46/EF) ledsaget af en "let" bilateral international aftale.

b. Fuldstændig, nøjagtig og rettidig information af passagererne. Der er blevet gjort en koordineret indsats - af Kommissionen, luftfartsselskaberne, rejsebureauerne, edb-reservationssystemerne (CRS), databeskyttelsesmyndighederne og eventuelt myndighederne i de berørte tredjelande - for at sikre, at passagererne, inden de køber deres billet, modtager en fuldstændig og nøjagtig information om anvendelsen af deres PNR-oplysninger og giver deres samtykke til overførslen af disse oplysninger.

c. Overførsel ved hjælp af downloadmetoden (pull) (hvor de amerikanske myndigheder har direkte adgang til luftfartsselskabernes databaser) erstattes med uploadmetoden (push) kombineret med passende filtre. Kommissionen har på dette område allerede haft fremskredne tekniske drøftelser med industrien. Kommissionen anbefaler en hurtig gennemførelse af et uploadsystem inden for rammerne af en EU-politik.

d. Udarbejdelse af en EU-holdning om anvendelsen af passageroplysninger, herunder PNR, til luftfartssikkerheds- og grænsekontrolformål.

e. Opstilling af multilaterale rammebestemmelser for overførsel af PNR-oplysninger under Organisationen for International Civil Luftfart (ICAO).

3. Detaljeret beskrivelse af elementerne i en overordnet EU-strategi

3.1. Resultat af forhandlingerne mellem USA og EU om overførsel af PNR-oplysninger

Kommissionen og de amerikanske myndigheder aftalte i en fælles erklæring fra februar 2003 at finde en løsning for overførslen af PNR-oplysninger, der tog hensyn til begge parters lovgivning. Det fremgår af den fælles erklæring, at en eventuel løsningsmodel bl.a. forudsætter, at de amerikanske myndigheder giver yderligere oplysninger og i højere grad forpligter sig, således at Kommissionen har mulighed for i henhold til artikel 25, stk. 6, i databeskyttelsesdirektivet at vedtage en beslutning, hvormed det konstateres, at USA sikrer et tilstrækkeligt databeskyttelsesniveau.

Kommissionen har i forbindelse med disse drøftelser hovedsagelig bestræbt sig på at opnå de bedst mulige standarder for beskyttelse af personoplysninger, der overføres fra EU, og at inkorporere disse i passende retlige rammer. Den har samtidig forsøgt at tilgodese de andre ovenfor anførte målsætninger (at samarbejde med USA i kampen mod terrorisme og terrorrelateret kriminalitet, at gøre det nemmere at rejse, når man overholder de gældende retsforskrifter, og at sikre rimelige og gennemførlige driftsbetingelser for de europæiske luftfartsselskaber). Den har ligeledes bestræbt sig på ikke at lægge hindringer i vejen for udviklingen af en EU-politik om anvendelsen af internationale passageroplysninger med henblik på EU's egen luftfartssikkerhed og grænsekontrol, og dette ligeledes under hensyntagen til, at medlemsstaterne i henhold til databeskyttelsesdirektivets artikel 13 kan vedtage retsforskrifter, der fritager fra visse databeskyttelseskrav, hvis dette sker af hensyn til den nationale sikkerhed eller med henblik på retshåndhævelse.

Kommissionen har anmodet de berørte amerikanske myndigheder om at udsætte håndhævelsen af deres krav, indtil der er etableret sikre retlige rammer for disse overførsler. Det ville i lyset af de amerikanske myndigheders afslag have været politisk berettiget at insistere på håndhævelsen af lovgivningen på EU's side, men det ville ikke have tjent ovenstående målsætninger. Det ville have undermineret den indflydelse, som de mere moderate og samarbejdsvenlige rådgivere i Washington kan have, og de positive muligheder, vi har som samarbejdspartnere, ville have været forspildt til fordel for en negativ styrkeprøve. Denne fremgangsmåde har nu båret frugt, og der er siden starten på samarbejdsfasen i disse forhandlinger (der blev markeret med den fælles erklæring af 18. februar 2003) sket betydelige fremskridt i retning af ovenstående målsætninger.

Kommissionen har især forhandlet med den amerikanske told- og grænsekontrolmyndighed (Bureau of Customs and Border Protection, CBP) om væsentligt forbedrede databeskyttelsesordninger for PNR-oplysninger, der overføres til USA. Disse ordninger danner grundlag for en retlig ramme i form af en kommissionsbeslutning i henhold til artikel 25, stk. 6, i direktiv 95/46/EF, kombineret med en international aftale, der giver luftfartselskaberne mulighed for at behandle de amerikanske krav som retlige EU-krav [5], og som forpligter de amerikanske myndigheder til at overholde princippet om gensidighed og sikre en "rimelig behandling" af EU-borgere.

[5] Der skal ud over spørgsmålet om "tilstrækkeligt databeskyttelsesniveau" i henhold til direktivets artikel 25 ligeledes tages stilling til en række retlige aspekter, der følger af direktivets artikel 4, 6 og 7. En beslutning, hvormed det konstateres, at der forefindes et tilstrækkeligt databeskyttelsesniveau, må ikke have andre formål, hvorfor den foreslåede internationale aftale er nødvendig for at tage hensyn til andre retlige aspekter.

Kommissionen har siden forhandlingerne startede i marts 2003 fået USA til at forpligte sig på følgende områder:

- Klare grænser for mængden af oplysninger, der overføres. Der skal udelukkende overføres oplysninger, der vedrører flyvninger til, fra eller gennem USA. I stedet for alle oplysninger i en PNR er det amerikanske krav nu begrænset til en udtømmende liste på 34 dataelementer. De fleste PNR indeholder i praksis ikke mere end 10-15 elementer, og de amerikanske myndigheder har forpligtet sig til ikke at kræve, at luftfartsselskaberne indsamler yderligere oplysninger, når et eller flere af de 34 felter er tomt.

- Alle kategorier af følsomme oplysninger som defineret i artikel 8, stk. 1, i databeskyttelsesdirektivet [6] vil blive slettet. Kommissionen har opnået de nødvendige garantier fra USA om, at alle personoplysninger om racemæssig eller etnisk baggrund (f.eks. særlige kostpræferencer), helbred osv. vil blive filtreret fra og slettet.

[6] I henhold til direktivets artikel 8 er særlige kategorier af oplysninger omfattet af en yderligere beskyttelse. Disse oplysninger er defineret i artikel 8, stk. 1, som "personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold".

- Præcisering og indsnævring af de formål, hvortil oplysningerne kan anvendes. USA har endelig imødekommet Kommissionens (og Europa-Parlamentets) gentagne anmodninger om, at oplysningerne kun må anvendes til bekæmpelse af terrorisme og kriminalitet, der er eller kan være forbundet med terrorisme, for således at udelukke "national" kriminalitet.

- Der er sket store fremskridt med hensyn til oplysningernes oplagringsperiode. USA har i forhold til den oplagringsperiode på 50 år, der oprindeligt blev foreslået, accepteret at nedsætte oplagringsperioden til 3 år og seks måneder. Denne periode hænger sammen med, at hele ordningen udløber efter tre år og seks måneder. Forvaringsperioden (retention period) står således i forhold til ordningens levetid.

- Den amerikanske kongres har krævet, at der nedsættes en databeskyttelsesansvarlig Chief Privacy Officer (CPO) under Department of Homeland Security (DHS), der årligt skal aflægge rapport til kongressen, og hvis konstateringer er bindende for DHS. CPO har accepteret at modtage og hastebehandle henvendelser, som databeskyttelsesmyndigheder i EU fremsender på vegne af borgere, der mener, at DHS ikke har behandlet deres klage på tilfredsstillende vis. EU-borgerne har således en større garanti for en fair behandling.

- De amerikanske told- og grænsekontrolmyndigheder (CBP) har accepteret sammen med en EU-delegation, der ledes af Kommissionen, at deltage i en årlig fælles evaluering af USA's gennemførelse af forpligtelseserklæringen. Dette vil give et godt billede af USA's løbende praksis og et middel til at kontrollere, om USA overholder sin forpligtelseserklæring. Evalueringsprocessen kan ligeledes danne udgangspunkt for et kommende tættere samarbejde med USA på dette område.

Department of Homeland Security ønskede, at CAPPS II-ordningen (Computer Assisted Passenger Pre-Screening System) fra Transportation Security Administration skulle være omfattet af de aftalte retlige rammer. Det er lykkedes Kommissionen at afvise dette krav med den begrundelse, at den først kan tage stilling, når de interne amerikanske procedurer er afsluttet, og når det står klart, at kongressen ikke længere har nogen forbehold med hensyn til CAPPS II-ordningens beskyttelse af privatlivets fred. CAPPS II-ordningen vil således først blive behandlet i en anden forhandlingsrunde.

Desuden har de amerikanske myndigheder efter forslag fra Kommissionen accepteret, at enhver retlig ramme skal være tidsbegrænset og kun vil blive forlænget, hvis begge parter er enige herom. Det er aftalt, at ordningen (konstatering af et tilstrækkeligt databeskyttelsesniveau og "let" international aftale) skal gælde i tre år og seks måneder. Dette giver de rette vilkår for at foretage en fyldestgørende gennemgang i lyset af de erfaringer, man har opnået med ordningens gennemførelse, og en eventuel senere udvikling, idet denne gennemgang bør indledes et år inden ordningen udløber. EU vil til den tid have udviklet sin egen politik for anvendelsen af PNR til luftfartssikkerheds- og grænsekontrolformål, og den amerikanske debat om beskyttelse af privatlivets fred kan ligeledes have udviklet sig. Endelig vil der til den tid eventuelt være fastsat en række multilaterale rammebestemmelser.

Kommissionen vil nu indlede de procedurer, der er nødvendige for at vedtage en beslutning i henhold til direktivets artikel 25, stk. 6, og for indgåelse af en international aftale. Kommissionen har i lyset af de procedurer, der er fastlagt, til hensigt at fuldende denne procedure i marts 2004, idet det dog kun vil være muligt at overholde denne tidsplan, hvis alle berørte parter samarbejder.

3.2. Information af passagerer

Kommissionens tjenestegrene har på grundlag af bidrag fra databeskyttelsesmyndighederne [7] og de amerikanske told- og grænsekontrolmyndigheder (CBP) udarbejdet en tekst, der nu fremsendes til luftfartsselskaberne, bl.a. gennem IATA, og som skal tjene som model for den information, som de og/eller deres rejsebureauer skal give passagererne, inden de køber flybilletter til USA. Man søger ligeledes at samarbejde med edb-reservationssystemerne (CRS) for at sikre en maksimal dækning af billetsalget, især gennem rejsebureauer.

[7] Selv om Kommissionen har anmodet databeskyttelsesmyndighederne om deres kommentarer, og selv om teksten tager højde for mange af disse kommentarer, har Artikel 29-Gruppen afvist at vedtage eller godkende teksten under henvisning til, at overførslen af PNR til USA under alle omstændigheder er ulovlig, og at der ikke bør træffes foranstaltninger, der ser bort fra denne omstændighed.

Det er generelt et vigtigt krav i forbindelse med databeskyttelse, at der gives fuldstændig, korrekt og rettidig information, særlig når der kræves samtykke. Den registreredes samtykke betragtes kun som gyldig, hvis vedkommende har modtaget den nødvendige information. I henhold til retspraksis og god praksis er den registreredes samtykke kun gyldig, hvis vedkommende har haft et frit valg.

I den nuværende situation var Artikel 29-Gruppen i sin udtalelse nr. 6/2002 af 24. oktober 2002 af den opfattelse, at samtykkeproceduren ikke kunne benyttes, og at undtagelsen fra kravet om "tilstrækkeligt databeskyttelsesniveau" i direktivets artikel 26, stk. 1, litra a), ("hvis der ikke hersker tvivl om, at den registrerede har givet sit samtykke") derfor ikke udgør nogen retligt velfunderet løsning. Kommissionen er enig i, at en retlig løsning, der udelukkende bygger på samtykkeprincippet, er en i databeskyttelseshenseende dårlig løsning, men den mener, at information og en informeret beslutning fra passagererne imidlertid er en vigtig del af den samlede løsningsmodel.

3.3. Udvikling af filterbaserede uploadsystemer

Indførelsen af et filterbaseret uploadsystem er et andet nøgleelement i en overordnet strategi. Sådanne systemer vil gøre det muligt i EU at kontrollere overførslen af oplysninger fra luftfartsselskaberne eller edb-reservationssystemerne til de amerikanske told- og grænsekontrolmyndigheder, og ligeledes, når parterne er blevet enige om de relevante dataelementer, at begrænse overførslen til det, der er strengt nødvendigt med henblik på kontrol. Kommissionen er af den opfattelse, at det er nødvendigt hurtigst muligt at udvikle og indføre en passende filter- og udloadteknologi, og Parlamentet har ligeledes i sin beslutning af 9. oktober opfordret Kommissionen til at træffe de nødvendige foranstaltninger for at fremme indførelsen af edb-baserede filtersystemer.

Kommissionens tjenestegrene har i flere måneder ført en dialog med luftfartsselskaberne om indførelsen af et sådant system, og de har hørt en række tekniske eksperter fra forskellige organisationer og it-virksomheder. Luftfartsselskaberne er åbne over for ideen om at indføre edb-baserede filtersystemer (det såkaldte uploadsystem). Kommissionens tjenestegrene er blevet gjort opmærksomme på en række mulige teknologiske løsninger, herunder det østrigske forslag, hvortil der henvises i Europa-Parlamentets beslutning.

Kommissionens tjenestegrene havde et andet teknisk møde med industriens eksperter og forskellige teknologiudbydere den 13. november. Man erfarede, at det var teknisk muligt at udvikle sådanne systemer, men det er fortsat uklart, hvorledes de bedst indføres og overvåges. Det blev også gjort klart på dette møde, at indførelsen af et uploadsystem ikke er tilstrækkeligt til at løse problemet. Det vil også være nødvendigt at installere filtre. Disse filtre medfører betydelige omkostninger for luftfartsselskaberne, hvilket betyder, at det bør være et retligt krav at indføre disse, således at alle luftfartsselskaber er underlagt samme krav. Luftfartsselskaberne har ligeledes anført, at de foretrækker et centraliseret system.

Man kan vanskeligt forpligte luftfartsselskaberne, herunder de amerikanske, til at indføre et system af denne art, uden at der foreligger et retligt krav i denne henseende. Der er i øjeblikket intet i fællesskabslovgivningen eller i nogen fællesskabspolitik, der forpligter luftfartsselskaber til at overføre PNR-oplysninger på denne måde. Rammerne for etableringen af et sådant system kunne eventuelt være en fællesskabspolitik om indsamling af PNR-oplysninger til sikkerheds- og/eller immigrationsformål. Det burde være muligt i overensstemmelse med den tidsplan, der er fastsat for udviklingen af rammerne for politikken på dette område (se afsnit 3.4), at have en planlægning, der gør det muligt at skifte til en filterbaseret uploadmetode medio 2004.

3.4. Udarbejdelse af en EU-holdning om anvendelse af PNR-oplysninger

Forhandlingerne med tredjelande om overførsel af PNR-oplysninger skal suppleres og om muligt først finde sted efter udviklingen af en EU-politik om anvendelse af PNR-oplysninger og/eller mere generelt passageroplysninger i EU. Der skal i en sådan politik findes en passende balance mellem de forskellige interesser, særlig mellem de legitime sikkerhedshensyn og beskyttelsen af de grundlæggende rettigheder, herunder privatlivets fred.

I denne forbindelse synes princippet om "formålsbegrænsning", som der for nylig blev enighed med USA om, at være et godt udgangspunkt for at arbejde videre med en overordnet EU-strategi, der omfatter bekæmpelsen af terrorisme, men også organiseret kriminalitet med internationale forgreninger. Listen over dataelementer synes ligeledes at være omfattende nok til at opfylde behovet for retshåndhævelse i EU. Der er således intet i de ordninger, der er blevet aftalt med USA, som synes at være til hinder for udviklingen af en passende EU-politik.

Som anført i slutningen af afsnit 3.3 hænger en kommende EU-politik om anvendelsen af PNR eller andre passageroplysninger til luftfartssikkerheds- og retshåndhævelsesformål sammen med udviklingen af et filterbaseret uploadsystem, især hvis sidstnævnte skal foregå på central vis. Der kan ved en centraliseret struktur i EU-regi opnås de nødvendige garantier med hensyn til pålidelighed (oplysningernes nøjagtighed), sikkerhed (teknologiske midler, filtre) og overvågning (f.eks. et fælles overvågningsorgan (Joint Supervisory Board)), og der kan opnås en merværdi for lignende initiativer på nationalt plan i EU.

Endelig bør enhver udveksling af oplysninger med de amerikanske myndigheder tage udgangspunkt i princippet om gensidighed i overførslen af oplysninger mellem EU og USA, idet der samtidig tages højde for en eventuel indsamling og kontrolleret overførelse af PNR-oplysninger via et centralt EU-organ.

Udarbejdelsen af en EU-politik er fortsat i sin indledende fase. For at indlede udarbejdelsen af en EU-holdning var Kommissionen den 9. oktober 2003 vært for et ekspertmøde om PNR med deltagelse af Kommissionens tjenestegrene og medlemsstaternes retshåndhævelses- og databeskyttelsesmyndigheder. Der er i de kommende uger og måneder planlagt yderligere møder med retshåndhævelsesmyndighederne. Man vil på disse møder se på fordelene og ulemperne ved et centraliseret kontaktpunkt for udveksling af oplysninger med tredjelande, listen over dataelementer, der anses for nødvendige og relevante, de påkrævede minimumbetingelser for databeskyttelse, den generelle risikovurdering og systemerne til udarbejdelse af kriminalitetsprofiler.

Det er planlagt at fremsætte et forslag til rammebeslutning om databeskyttelse i forbindelse med samarbejdet om retshåndhævelse medio 2004, idet man således forsøger at etablere et holdbart grundlag for gennemgangen af kommercielle oplysninger med henblik på retshåndhævelse under hensyntagen til fællesskabslovgivningens databeskyttelsesbestemmelser.

En sådan rammebeslutning vil danne grundlag for en "informationspolitik" for retshåndhævelsesmyndighederne. Dette vil udgøre grundsøjlen i forebyggelsespolitikken inden for organiseret kriminalitet og terrorisme, særlig med hensyn til databehandlingssystemernes sikkerhed og den gensidige dataudveksling.

3.5. Opstilling af multilaterale rammebestemmelser for overførsel af PNR-oplysninger under Organisationen for International Civil Luftfart (ICAO)

Overførslen af PNR-oplysninger er ikke blot et bilateralt men et internationalt problem. Kommissionen er derfor af den opfattelse, at det bedste resultat opnås ved en multilateral løsning, og at Organisationen for International Civil Luftfart (ICAO) udgør de bedste rammer for et sådant multilateralt initiativ.

Kommissionen besluttede i september 2003 at fremskynde arbejdet til udarbejdelse af en international aftale om overførsel af PNR-oplysninger inden for ICAO. Kommissionens tjenestegrene har til dette formål udarbejdet et arbejdsdokument, som Fællesskabet og medlemsstaterne inden længe vil forelægge ICAO.

Dette arbejdsdokument, der tager behørigt hensyn til aspekter som luftfartssikkerhed, grænsekontrol og beskyttelse af personoplysninger samt de uhensigtsmæssigt mange forskellige initiativer vedrørende overførsel af PNR-oplysninger blandt ICAO-medlemsstaterne, indeholder følgende elementer:

- omfanget af oplysninger, der kan anvendes til disse formål

- de metoder, der kan anvendes til indsamling og behandling af sådanne oplysninger

- de tekniske aspekter i forhold til de systemer, der anvendes til registrering, behandling, lagring og overførsel af sådanne oplysninger.

Dette arbejdsdokument må naturligvis ikke være til hinder for udviklingen af en EU-politik på dette område (se foregående afsnit), men det skal derimod lade sig inspirere heraf. Dette initiativ vil under alle omstændigheder kræve enighed mellem alle ICAO-medlemmer, hvorfor det vil tage en vis tid at gennemføre.

4. Kommissionens håndhævelse af forordning nr. 2299/89

Kommissionens tjenestegrene har med hensyn til forordningen om edb-reservationssystemer overvåget situationen over en periode på flere måneder for at få et nøjagtigt billede af, hvorledes det aktuelle system for adgang til oplysninger fungerer ud fra et teknisk synspunkt, og i hvilket omfang edb-reservationssystemerne anvendelser er omfattet af forordning nr. 2299/89 om en adfærdskodeks for edb-reservationssystemer. Denne gennemgang, der blev afsluttet ved det andet møde med sektoren den 13. november 2003, har vist, at edb-reservationssystemerne ikke som sådanne men som underleverandører til og på vegne af luftfartsselskaberne behandler oplysninger til disse formål. Det vil være nødvendigt at præcisere dette aspekt nærmere, inden der tages endelig stilling til, hvorvidt forordningen finder anvendelse.

Da Kommissionen imidlertid har modtaget en klage i henhold til forordningens artikel 11 (indledning af procedurer med henblik på at bringe en overtrædelse til ophør), træffer den foranstaltning i henhold til artikel 12 (der giver den beføjelse til at indhente alle nødvendige oplysninger fra virksomheder), og den har således fremsendt skrivelser til edb-reservationssystemerne for at få oplyst, om systemleverandørerne overholder forordningens databeskyttelsesbestemmelser.

5. Konklusioner

Kommissionen har på grund af de berørte aspekters høje kompleksitet og flerdimensionelle karakter valgt at anvende en global tilgang til spørgsmålet om overførslen af PNR-oplysninger, der forener ovennævnte individuelle elementer.

* Den lægger meget stor vægt på hurtigst muligt at etablere faste retlige rammer for overførslen af PNR til USA's Department of Homeland Security (Bureau of Customs and Border Protection).

* Kommissionen foreslår på grundlag af resultaterne af forhandlingerne med de amerikanske myndigheder og som en del af den pakke af foranstaltninger, der udgør den overordnede strategi, at fastsætte disse retlige rammer i form af en beslutning til konstatering af et tilstrækkeligt databeskyttelsesniveau i henhold til databeskyttelsesdirektivets artikel 25, stk. 6, ledsaget af en international aftale med USA på grundlag af traktatens artikel 300, stk. 3, første afsnit. Europa-Parlamentet vil blive hørt om begge elementer af denne løsning, hver især inden for passende tidsfrister.

* Kommissionen vil ligeledes fortsætte sine forhandlinger med andre tredjelande med henblik på så hurtigt som muligt at finde frem til passende løsninger for at fjerne eventuelle retlige uoverensstemmelser.

* Kommissionen vil med stort engagement fortsætte sit samarbejde med luftfartsselskaberne og deres brancheorganisationer samt med edb-reservationssystemerne for at sikre, at passagererne, inden de køber en billet, modtager fyldestgørende og nøjagtig information om anvendelserne af deres PNR og således er i stand til at træffe et informeret valg. Kommissionen vil på det stærkeste opfordre operatører til på systematisk vis og i videst muligt omfang at indhente passagerernes samtykke til, at deres oplysninger overføres, men den mener ligeledes, at det er nødvendigt at fastsætte retlige rammer, der ikke udelukkende bygger på princippet om samtykke. Kommissionen henviser til sin initiativret til at foreslå en regulering af princippet om samtykke på EU-niveau, hvis operatørerne undlader at iværksætte relevante løsninger inden for en passende tidsfrist.

* Kommissionen bekræfter, at den i høj grad støtter en hurtig indførelse af uploadteknologi ledsaget af passende filtre til overførsel af PNR-oplysninger til tredjelande. Den er af den opfattelse, at en centraliseret eller fælles løsning indebærer betydelige fordele både med hensyn til effektivitet og omkostninger i forhold til en løsningsmodel, hvor hvert luftfartsselskab anvender sin egen metode. Den vil som et prioriteret område fortsat sammen med sektoren undersøge mulighederne for alternative løsninger. Den er med henblik på udviklingen af et sådant system indstillet på om nødvendigt at træffe passende foranstaltninger for at sikre finansieringen inden for rammerne af fællesskabsbudgettet. Den agter senest medio 2004 at have fastlagt en strategi for vejen frem. En af de muligheder, der skal overvejes, er at indføre et uploadsystem inden for rammerne af en overordnet EU-strategi om anvendelsen af passageroplysninger til luftfartssikkerheds- og grænsekontrolformål (se nedenfor).

* Kommissionen vil som et prioriteret område fortsætte de forhandlinger, der er blevet indledt med medlemsstaterne og andre relevante parter, f.eks. Europol, med henblik på at fremsætte et forslag medio 2004 om hovedlinjerne i EU-strategien om anvendelse af passageroplysninger til luftfartssikkerheds- og grænsekontrolformål. Disse politiske rammer skal indeholde en passende afvejning mellem sikkerhedshensyn på den ene side og databeskyttelse og andre borgerlige frihedsrettigheder på den anden.

* Kommissionen iværksætter et internationalt initiativ med hensyn til overførsel af PNR-oplysninger i ICAO-regi. Et forslag til dette formål vil blive forelagt Rådet.