KOMISJA EUROPEJSKA

Bruksela, dnia 19.1.2017

COM(2017) 29 final

SPRAWOZDANIE KOMISJI DLA PARLAMENTU EUROPEJSKIEGO I RADY

w sprawie wspólnego przeglądu realizacji Umowy między Stanami Zjednoczonymi Ameryki a Unią Europejską o przetwarzaniu danych dotyczących przelotu pasażera oraz przekazywaniu takich danych do Departamentu Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych

{SWD(2017) 14 final}
{SWD(2017) 20 final}

SPRAWOZDANIE KOMISJI DLA PARLAMENTU EUROPEJSKIEGO I RADY

w sprawie wspólnego przeglądu realizacji Umowy między Stanami Zjednoczonymi Ameryki a Unią Europejską o przetwarzaniu danych dotyczących przelotu pasażera oraz przekazywaniu takich danych do Departamentu Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych

Wprowadzenie

Obowiązująca obecnie Umowa między Stanami Zjednoczonymi Ameryki a Unią Europejską o wykorzystywaniu danych dotyczących przelotu pasażera (dane PNR) oraz przekazywaniu takich danych do Departamentu Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych (DHS) (Umowa) weszła w życie w dniu 1 lipca 2012 r.

Umowa ta przewiduje dokonanie pierwszego wspólnego przeglądu rok po jej wejściu w życie, a następnie dokonywanie regularnych przeglądów zgodnie ze wspólnymi uzgodnieniami. Niniejszy wspólny przegląd przeprowadzono w dniach 1-2 lipca 2015 r. w Waszyngtonie; proces przygotowania wspólnego przeglądu i sporządzenia późniejszego sprawozdania omówiono na końcu niniejszego sprawozdania. W przeglądzie skoncentrowano się głównie na śledzeniu postępów we wdrażaniu zaleceń sformułowanych w trakcie poprzedniego przeglądu w 2013 r. 1 ; realizacji Umowy, ze zwróceniem szczególnej uwagi na metodę transmisji danych PNR, a także dalsze przekazywanie danych PNR, jak określono w artykułach Umowy.

Wspólny przegląd opiera się na metodach opracowanych przez zespoły UE i USA na potrzeby przeprowadzenia pierwszego wspólnego przeglądu umowy o przekazywaniu danych PNR zawartej w 2004 r., który miał miejsce we wrześniu 2005 r., oraz na potrzeby wspólnego przeglądu w 2013 r. Pierwszy etap polegał na wysłaniu przez Komisję Europejską kwestionariusza do DHS przed rozpoczęciem wspólnego przeglądu.

Dokument roboczy służb Komisji (SWD) towarzyszący niniejszemu sprawozdaniu składa się z pięciu rozdziałów. W rozdziale 1 określono kontekst przeglądu oraz cel i aspekty proceduralne tego działania. W rozdziale 2 przedstawiono aktualne informacje na temat wdrażania zaleceń sformułowanych w wyniku przeglądu w 2013 r. W rozdziale 3 przedstawiono główne wnioski ze wspólnego przeglądu z 2015 r. oraz kwestie, które wymagają podjęcia dalszych działań przez DHS. W rozdziale 4 przedstawiono podsumowanie zaleceń wynikających z przeglądu w 2015 r. W rozdziale 5 omówiono natomiast ogólne wnioski z przeglądu. Ponadto do SWD dołączono załącznik, który zawiera kwestionariusz i udzielone przez DHS odpowiedzi.

Wdrożenie zaleceń z 2013 r.

Wszystkie zalecenia z przeglądu w 2013 r. zostały albo wypełnione albo dokonano w tym zakresie poprawy, a prace są kontynuowane.

W ramach działań następczych podjętych w związku z ogólnym zaleceniem sformułowanym w wyniku przeglądu w 2013 r. jeszcze przed rozpoczęciem wspólnego przeglądu w 2015 r. Urząd ds. Prywatności DHS przystąpił do wewnętrznego przeglądu 2 przestrzegania przez DHS przepisów dotyczących prywatności w trakcie realizacji Umowy. Przegląd ten miał na celu ustalenie, czy DHS przestrzega standardów i ustaleń zawartych w Umowie z UE. Stosowne sprawozdanie opublikowano w dniu 26 czerwca 2015 r.

Naliczanie sześciomiesięcznego okresu, po którym dane PNR są anonimizowane zgodnie z art. 8 ust. 1 Umowy, obecnie rozpoczyna się dnia, w którym dane PNR są ładowane w systemie automatycznego naprowadzania DHS (ATS) (tak zwanym ATS Load Date), czyli pierwszego dnia, w którym dane są przechowywane w ATS; zastąpiono w ten sposób poprzednią praktykę, co powoduje, że okres sześciu miesięcy zaczyna być naliczany później (do momentu ostatniej aktualizacji danych PNR w ATS).

W przeglądzie z 2013 r. zalecano również jak najszybsze zapewnienie stosowanie metody „push”, najpóźniej do dnia 1 lipca 2014 r., zgodnie z art. 15 ust. 4 Umowy. W czasie przeglądu w 2015 r. czterech przewoźników w dalszym ciągu nie dostarczyło danych PNR przy użyciu metody „push”; DHS udzieliło wsparcia tym przewoźnikom, aby wypracowali oni zdolność przekazywania danych PNR przy użyciu metody „push”.

W wyniku przeglądu w 2013 r. zalecono, by na mocy art. 18 DHS poprawiło procedurę mającą na celu powiadamianie państw członkowskich UE w przypadku wymiany danych PNR pochodzących z UE między DHS i państwami trzecimi. W odpowiedzi urzędnik CBP został oddelegowany do Europolu jako oficer łącznikowy w lipcu 2014 r. Jeżeli oficer łącznikowy zidentyfikuje pasażera mającego powiązania z państwem członkowskim, przekazuje takie informacje w sprawozdaniu dla przedstawicieli państw członkowskich.

Poprawiło się również stosowanie przepisów art. 13, który odnosi się do mechanizmów dochodzenia roszczeń dostępnych dla osób fizycznych. W przeglądzie dokonanym w 2013 r. zalecano większą przejrzystość w odniesieniu do mechanizmów dochodzenia roszczeń dostępnych dla pasażerów zgodnie z prawem Stanów Zjednoczonych. Jako pozytywny należy odnotować fakt, że program DHS dotyczący dochodzenia roszczeń przez podróżnych (Traveller Redress Inquiry Program, w skrócie TRIP) jest punkt kompleksowej obsługi dla obywateli; jednakże Stany Zjednoczone powinny w dalszym ciągu dokonywać przeglądu wszystkich środków koniecznych do zagwarantowania, by wszyscy pasażerowie byli świadomi mechanizmów dochodzenia roszczeń.

Zalecenia wynikające z przeglądu w 2015 r.

Zespół UE ponownie ustalił, że Stany Zjednoczone wdrożyły Umowę zgodnie z określonymi w niej warunkami. DHS przestrzega swoich zobowiązań w odniesieniu do praw dostępu pasażerów i dysponuje mechanizmem kontroli, aby przeciwdziałać niezgodnej z prawem dyskryminacji. Komisja z zadowoleniem przyjmuje także stałe wysiłki mające zapewnić wzajemność i proaktywne przekazywanie informacji analitycznych uzyskanych z danych PNR państwom członkowskim UE, a w stosownych przypadkach także Europolowi i Eurojustowi. Zasady dotyczące maskowania oraz usuwania danych szczególnie chronionych są przestrzegane. DHS stwierdził, że nigdy nie korzystał z dostępu do danych szczególnie chronionych w celach operacyjnych.

DHS w dalszym ciągu wywiązuje się ze swoich zobowiązań w odniesieniu do praw pasażerów, w szczególności, jeśli chodzi o dostarczanie pasażerom stosownych informacji oraz wdrażanie prawa dostępu do danych bez wyjątków, jak przewidziano w art. 11–13. Z zadowoleniem przyjęto wejście w życie ustawy o sądowych środkach odwoławczych z 2015 r. w okresie następującym po wspólnym przeglądzie.

Udostępnianie danych innym organom krajowym przez DHS przebiega zgodnie z umową. Odbywa się ono indywidualnie dla każdego przypadku, na podstawie porozumień pisemnych i jest rejestrowane. Udostępnianie danych państwom trzecim jest także rozumiane w sposób zawężający i również ma miejsce zgodnie z przepisami umowy. Stany Zjednoczone stosują takie same wymogi w zakresie ochrony danych w odniesieniu do wszystkich pozyskiwanych i przetwarzanych danych PNR, niezależnie od tego, czy pochodzą z UE czy spoza niej.

Pomimo pomyślnej realizacji postanowień Umowy niezbędne jest jednak wprowadzenie pewnych ulepszeń. Artykuł 2 stanowi, że zakres Umowy obejmuje loty powiązane ze Stanami Zjednoczonymi. Korzystanie z mechanizmu obejścia zasady lub wstrzymania działania automatycznego mechanizmu przy dostępie do danych PNR w przypadku lotów niezwiązanych ze Stanami Zjednoczonymi jest uzależnione od spełnienia szeregu warunków i podlega nadzorowi. Od czasu przeglądu w 2013 r. wzrosła liczba przypadków stosowania tego mechanizmu. W celu lepszego zrozumienia przyczyn ich wystąpienia DHS musi szczegółowo rejestrować powody, dla których skorzystano z takiego mechanizmu.

W odniesieniu do art. 5 od czasu ostatniego przeglądu w 2013 r. wzrosła liczba pracowników mających prawo dostępu do danych PNR. Zespół UE pozytywnie ocenia obowiązujące mechanizmy nadzoru, jednak zachęca DHS do dalszego monitorowania liczby pracowników dysponujących prawem dostępu do danych PNR w celu zagwarantowania, by tylko osoby, które z powodów operacyjnych muszą korzystać z danych i je przeglądać, były do tego uprawnione.

W odniesieniu do art. 6 w okresie omawianego przeglądu nie udzielono dostępu do danych wrażliwych. W ciągu 48 godzin DHS, zgodnie ze swoimi przepisami, powiadamia Komisję o wszelkich przypadkach uzyskania przez pracowników DHS dostępu do wrażliwych danych. Zaleca się, aby DHS dokonywał regularnego przeglądu wykazu kodów wrażliwych danych w celu zapewnienia automatycznej blokady przez system wszelkich wrażliwych danych. O wszelkich zmianach należy informować Komisję.

Po upływie początkowego okresu sześciu miesięcy DHS stosuje zautomatyzowane procesy przy maskowaniu wszystkich elementów danych, które mogłyby posłużyć do identyfikacji pasażera, którego dotyczą dane PNR. Jest to zgodne z przepisami art. 8 Umowy. W toku przeglądu ustalono jednak, że liczba elementów danych PNR powiązanych z przypadkami egzekwowania prawa, a zatem niepodlegających maskowaniu, jest wysoka. Zaleca się, aby DHS dogłębniej zbadało tę kwestię, by zrozumieć, dlaczego liczba ta jest wysoka, a także zagwarantować, by niepotrzebne już dane PNR zostały w miarę możliwości szybko zamaskowane, zanonimizowane lub usunięte. Jako pozytywny należy odnotować fakt, że DHS zastosował się do zaleceń z przeglądu w 2013 r. i gwarantuje, że użytkownik DHS musi obecnie uzasadnić, dlaczego dane PNR nie są zamaskowane.

DHS postępuje zgodnie z art. 11 Umowy, nie odmawiając pasażerom dostępu do ich danych. Od ostatniego przeglądu w 2013 r. wydłużył się czas odpowiedzi i DHS powinien ustalić, czy istnieje możliwość jego skrócenia.

Na mocy art. 15 DHS będzie nadal wspierać i zachęcać wszystkich pozostałych przewoźników do rozwijania zdolności do przekazywania danych PNR przy użyciu metody „push”. Z zadowoleniem należy przyjąć fakt, że DHS rozszerzył stosowanie metody „push” w odniesieniu do wszystkich linii lotniczych, które wchodziły w zakres porozumienia w momencie przeprowadzania wspólnego przeglądu, mimo że miało to miejsce dopiero po przeglądzie.

W odniesieniu do artykułów 16 i 18 DHS powinien dostarczyć bardziej szczegółowych informacji na temat tego, jakie dokładnie dane są gromadzone na podstawie tych przepisów, a także być w stanie udzielić dodatkowych informacji na temat danych, którymi wymieniono się z innymi organami Stanów Zjednoczonych, policją, organami ścigania i organami sądowymi w całej UE.

Ponadto w odniesieniu do przyszłych przeglądów i oceny DHS powinien zadbać o to, aby wszystkie fakty i dane liczbowe były gromadzone w sposób spójny, co umożliwi dokonywanie bezpośrednich analiz porównawczych.

W celu przygotowania niniejszego sprawozdania zespół UE korzystał z informacji zawartych w pisemnych odpowiedziach, które DHS udzielił na pytania w kwestionariuszu UE, informacji uzyskanych w toku rozmów z personelem DHS, informacji zawartych w wyżej wymienionym sprawozdaniu Urzędu ds. Prywatności DHS, jak również informacji zawartych w innych publicznie dostępnych dokumentach DHS.

Proces przygotowań do wspólnego przeglądu i kolejnego sprawozdania

Komisja przesłała kwestionariusz do DHS w dniu 8 maja 2015 r., przed wspólnym przeglądem. Kwestionariusz zawierał szczegółowe pytania w odniesieniu do wykonania Umowy przez DHS. W dniu 12 czerwca 2015 r. DHS przedstawił pisemne odpowiedzi na zawarte w kwestionariuszu pytania.

Komisja skontaktowała się również ze wszystkimi państwami członkowskimi, aby ustalić, czy mają jakiekolwiek kontakty ze Stanami Zjednoczonymi w zakresie danych PNR.

W dniach 1-2 lipca 2015 r. zespół UE przeprowadził kontrolę w ramach wspólnego przeglądu i uzyskał dostęp do pomieszczeń DHS, dokonał inspekcji Krajowego Centrum Celów DHS (National Targeting Center) i miał możliwość przyjrzeć się, jak funkcjonuje takie centrum.

W dniu 26 czerwca 2015 r. Urząd ds. Prywatności DHS opublikował swoje sprawozdanie w sprawie wykorzystywania i przekazywania danych PNR między UE i USA. Niestety zespół UE nie dysponował wystarczającą ilością czasu, by przeanalizować całe sprawozdanie przed kontrolą w ramach przeglądu. Następnie zespół UE przeanalizował sprawozdanie Biura ds. Prywatności i zadał pytania uzupełniające, by pomóc sfinalizować kompletne sprawozdanie na temat wspólnego przeglądu.

Po zakończeniu kontroli w ramach wspólnego przeglądu DHS przedstawił, na prośbę zespołu UE wyrażoną w trakcie kontroli, dodatkowe informacje na piśmie. Informacje te wykorzystano przy sporządzaniu niniejszego sprawozdania.

W dniu 25 września 2015 r. DHS potwierdził, że wszyscy przewoźnicy dostarczający danych PNR na mocy Umowy są w stanie przekazywać Stanom Zjednoczonym dane PNR przy użyciu metody „push”.

W dniu 21 stycznia 2016 r. Komisja przedstawiła projekt sprawozdania również innym członkom zespołu UE.

Po uwzględnieniu uwag zgłoszonych do projektu sprawozdania przez innych członków zespołu UE Komisja przedstawiła Stanom Zjednoczonym kopię projektu sprawozdania podczas posiedzenia z udziałem urzędników wysokiego szczebla w Waszyngtonie D.C. w dniu 17 marca 2016 r. Umożliwiło to DHS zidentyfikowanie i zgłoszenie uwag dotyczących wszelkich nieścisłości lub wszelkich informacji, których nie można podać do wiadomości publicznej.

Następnie DHS przekazał aktualną wersję kwestionariusza i nieformalne uwagi do projektu sprawozdania, które zespół UE omówił na spotkaniu w dniu 9 czerwca 2016 r.

Komisja i DHS kontynuowali dyskusje na temat projektu sprawozdania, m.in. na posiedzeniu urzędników wysokiego szczebla w Waszyngtonie D.C. w dniu 14 lipca 2016 r. W sierpniu 2016 r. Komisja poinformowała DHS, że w zakresie w jakim DHS nadal nie zgadza się z treścią sprawozdania lub pragnie przekazać dodatkowe informacje na potrzeby sprawozdania, może on przedstawić pisemne uwagi, które następnie zostaną dołączone do sprawozdania zgodnie z art. 23 ust. 3 Umowy

(1)

     Sprawozdanie Komisji dla personelu Parlamentu Europejskiego, Rady i Komisji

Dokument roboczy w sprawie wspólnego przeglądu realizacji Umowy między Stanami Zjednoczonymi Ameryki a Unią Europejską o przetwarzaniu danych dotyczących przelotu pasażera (PNR) oraz przekazywaniu takich danych do Departamentu Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych, 8-9 lipca 2013 r.

(2)

     Przegląd przestrzegania przepisów dotyczących prywatności – „Sprawozdanie w sprawie wykorzystywania i przekazywania danych dotyczących przelotu pasażera między

Unią Europejską i Stanami Zjednoczonymi”, Urząd ds. Prywatności DHS, dnia 26 czerwca 2015 r.

http://www.dhs.gov/sites/default/files/publications/privacy_pcr_pnr_review_06262015.pdf.