9.2.2012   

RO

Jurnalul Oficial al Uniunii Europene

C 35/16

1.

La 28 noiembrie 2011, Comisia a adoptat o propunere de decizie a Consiliului privind încheierea Acordului dintre Statele Unite ale Americii și Uniunea Europeană privind utilizarea și transferul de date din registrele cu numele pasagerilor (PNR) către Departamentul pentru Securitate Internă al Statelor Unite (3) (denumit în continuare „acordul”).

2.

La 9 noiembrie 2011, Autoritatea Europeană pentru Protecția Datelor a fost consultată neoficial cu privire la proiectul de propunere, în contextul unei proceduri accelerate. La 11 noiembrie 2011, AEPD a emis mai multe observații de ordin restrâns. Scopul prezentului aviz este să completeze aceste observații prin prisma acestei propuneri și să pună la dispoziția publicului punctul său de vedere. De asemenea, prezentul aviz are la bază mai multe intervenții privind PNR, emise anterior de către AEPD și Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal.

3.

Acordul își propune să ofere un temei juridic solid pentru transferul de date PNR din UE către Statele Unite. În prezent, aceste transferuri se efectuează în baza acordului din 2007 (4), deoarece Parlamentul a hotărât să amâne votul privind aprobarea până la soluționarea motivelor sale de îngrijorare privind protecția datelor. Mai precis, în rezoluția sa din 5 mai 2010 (5), Parlamentul a făcut referire la următoarele cerințe:

4.

Prezentul acord trebuie să fie interpretat în contextul unei abordări globale a PNR, care include negocieri cu alte țări terțe (respectiv Australia (8) și Canada (9)), precum și al propunerii de sistem PNR la nivelul Uniunii Europene (10). De asemenea, acesta intră în sfera negocierilor privind un acord între UE și SUA referitor la schimbul de date cu caracter personal în cadrul cooperării polițienești și judiciare în materie penală (11). Într-un context mai larg, acordul a fost parafat cu câteva săptămâni înainte de data preconizată pentru adoptarea propunerilor de revizuire a cadrului general de protecție a datelor (12).

5.

AEPD salută această abordare globală menită să ofere un cadru juridic coerent pentru acordurile PNR, în concordanță cu cerințele juridice ale Uniunii Europene. Cu toate acestea, AEPD regretă că, în practică, calendarul stabilit nu permite asigurarea consecvenței acordurilor cu noile norme ale UE privind protecția datelor. De asemenea, dorește să amintească faptul că acordului UE-SUA privind PNR ar trebui să i se aplice prevederile acordului general dintre UE și SUA referitor la schimburile de date.

6.

În conformitate cu Carta drepturilor fundamentale a Uniunii Europene, orice limitare a drepturilor și libertăților fundamentale trebuie să fie necesară, proporțională și stabilită prin lege. După cum au declarat în mod repetat AEPD (13) și Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal (14), necesitatea și proporționalitatea sistemelor PNR, precum și a transferurilor în bloc de date PNR către țările terțe, nu au fost încă demonstrate. Această părere este împărtășită și de Comitetul Economic și Social European, precum și de Agenția pentru Drepturi Fundamentale (15). Observațiile specifice expuse în continuare nu aduc atingere acestei observații preliminare fundamentale.

7.

Cu toate că prezentul acord prezintă unele îmbunătățiri în comparație cu acordul din 2007 și include garanții corespunzătoare privind controlul și securitatea datelor, acesta nu pare să soluționeze niciunul dintre principalele motive de îngrijorare exprimate în avizele menționate și nici nu pare să îndeplinească condițiile impuse de Parlamentul European pentru obținerea aprobării sale (16).

8.

Articolul 4 alineatul (1) din acord prevede că Statele Unite prelucrează date PNR în scopul prevenirii, depistării, cercetării și urmăririi penale a: (a) infracțiunilor teroriste și a infracțiunilor asociate terorismului; și (b) infracțiunilor care pot fi sancționate cu pedepse cu închisoarea pentru trei ani sau mai mult și care au caracter transnațional. Unele dintre aceste concepte sunt definite suplimentar.

9.

Cu toate că aceste definiții sunt mai precise decât în acordul din 2007, există încă excepții și concepte vagi care ar putea să prevaleze asupra limitării scopului și să submineze securitatea juridică. În mod special:

10.

Anexa I la acord menționează 19 tipuri de date care urmează să fie transmise către Statele Unite. Majoritatea acestora cuprind și categorii diferite de date și sunt identice câmpurilor de date menționate în acordul din 2007, pe care AEPD și Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal le considerau deja disproporționate (18).

11.

Este vorba în mod special despre câmpul „Observații generale, inclusiv informații OSI (19), SSI (20) și SSR (21)”, care poate divulga date privind convingerile religioase (de exemplu, preferințele alimentare) sau sănătatea (de exemplu, solicitarea unui scaun rulant). Astfel de date sensibile ar trebui să fie excluse din listă în mod explicit.

12.

La evaluarea proporționalității listei ar trebui să se ia în considerare și faptul că, datorită transmiterii prealabile [articolul 15 alineatul (3) din acord], aceste categorii nu se referă doar la pasagerii efectivi, ci și la persoanele care nu mai zboară în cele din urmă (de exemplu, din cauza anulărilor).

13.

În plus, prezența unor câmpuri de date deschise ar putea să submineze securitatea juridică. Categoriile de tipul „toate informațiile de contact disponibile”, „toate informațiile cu privire la bagaje” și „observații generale” ar trebui să fie mai bine definite.

14.

Prin urmare, lista ar trebui să fie restrânsă. În conformitate cu avizul Grupului de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal (22), considerăm că datele ar trebui să se limiteze la următoarele informații: codul de localizare a dosarului PNR, data rezervării, data (datele) prevăzută (prevăzute) a(le) călătoriei, numele pasagerului, alte nume care figurează în PNR, itinerariul complet, elementele de identificare ale biletelor gratuite, biletele dus, informații privind locul emiterii biletului, date privind costurile biletelor prelucrate automat (Automatic Ticket Fare Quote, ATFQ), numărul biletului, data emiterii biletului, date referitoare la neprezentarea la îmbarcare, numărul de bagaje, numerele etichetelor de bagaje, pasagerii de ultim moment fără rezervare, numărul de bagaje pe fiecare segment, transferurile voluntare/involuntare la o clasă superioară, istoricul modificărilor datelor PNR cu privire la elementele enumerate mai sus.

15.

Articolul 6 din acord prevede că DHS filtrează și „maschează” datele sensibile în mod automat. Cu toate acestea, datele sensibile sunt stocate timp de minimum 30 de zile și pot fi utilizate în cazuri specifice [articolul 6 alineatul (4)]. AEPD dorește să sublinieze că aceste date rămân „sensibile” chiar și după „mascare” și se referă la persoane fizice identificabile.

16.

După cum s-a menționat deja de către AEPD, DHS nu ar trebui să prelucreze date sensibile referitoare la cetățenii Uniunii Europene, chiar dacă aceste date sunt „mascate” în momentul primirii. AEPD recomandă ca textul acordului să specifice că transportatorii aerieni nu trebuie să transfere date sensibile către DHS.

17.

Articolul 8 prevede că datele PNR se păstrează într-o bază de date activă pentru o perioadă de până la cinci ani, după care sunt transferate într-o bază de date pasivă, în care sunt păstrate timp de cel mult zece ani. Această perioadă maximă de păstrare de 15 ani este în mod clar disproporționată, indiferent dacă datele se păstrează în baze de date „active” sau „pasive”, după cum au subliniat deja AEPD și Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal.

18.

Articolul 8 alineatul (1) specifică faptul că datele sunt „depersonalizate și mascate” după șase luni de la primirea de către DHS. Cu toate acestea, atât datele „mascate”, cât și cele stocate într-o „bază de date pasivă” sunt date cu caracter personal atât timp cât nu sunt anonimizate. Prin urmare, datele ar trebui să fie anonimizate (ireversibil) sau șterse imediat după analiză ori după cel mult 6 luni.

19.

AEPD salută prevederile articolului 15 alineatul (1), conform cărora datele se transferă prin intermediul metodei „push”. Cu toate acestea, articolul 15 alineatul (1) impune transportatorilor să „permită accesul” la datele PNR în circumstanțe excepționale. Pentru a face definitiv imposibilă utilizarea sistemului de tip „pull” și din perspectiva motivelor de îngrijorare subliniate recent încă o dată de către Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal (23), recomandăm insistent ca acordul să interzică în mod explicit posibilitatea ca funcționarii SUA să acceseze datele în mod separat prin intermediul unui sistem de tip „pull”.

20.

Acordul ar trebui să definească numărul și periodicitatea transferurilor efectuate de transportatorii aerieni către DHS. De asemenea, pentru consolidarea securității juridice, ar trebui să se detalieze condițiile în care s-ar permite efectuarea unor transferuri suplimentare.

21.

AEPD salută articolul 5 din acord, referitor la securitatea și integritatea datelor, în special obligația de a notifica persoanele afectate în cazul unui incident de încălcare a vieții private. Cu toate acestea, ar trebui ca următoarele elemente ale notificării privind încălcarea securității datelor să fie clarificate:

22.

AEPD susține obligația de a înregistra sau documenta toate sesiunile de acces și prelucrare a datelor PNR, întrucât în acest mod se poate verifica dacă DHS a utilizat datele PNR în mod corespunzător și dacă au fost cazuri de acces neautorizat la sistem.

23.

AEPD salută faptul că respectarea garanțiilor privind protejarea vieții private menționate în prezentul acord face obiectul supravegherii și controlului independent al unor inspectori pentru protecția confidențialității, precum inspectorul-șef pentru protecția confidențialității (Chief Privacy Officer) al DHS, după cum se prevede la articolul 14 alineatul (1). Cu toate acestea, pentru a asigura exercitarea eficientă a drepturilor persoanelor vizate, AEPD și autoritățile naționale de protecție a datelor ar trebui să colaboreze cu DHS în privința procedurilor și modalităților de exercitare a acestor drepturi (24). AEPD ar aprecia dacă acordul ar conține o referire la această cooperare.

24.

AEPD susține cu tărie dreptul de a formula căi de atac „indiferent de naționalitate, țară de origine sau reședință”, prevăzut la cel de al doilea paragraf din articolul 14 alineatul (1). Cu toate acestea, regretă că articolul 21 prevede în mod explicit că acordul „nu creează și nu conferă, în temeiul legislației Statelor Unite, drepturi sau beneficii niciunei persoane”. Chiar dacă acordul garantează dreptul la „revizuire judiciară” în SUA, acesta poate să nu fie echivalent cu dreptul la un control jurisdicțional efectiv în Uniunea Europeană, în special prin prisma restricției prevăzute la articolul 21.

25.

Articolul 16 din acord interzice transferul de date către autoritățile naționale care nu aplică în cazul datelor PNR garanții „echivalente sau comparabile” cu cele prevăzute în prezentul acord. AEPD salută această dispoziție. Cu toate acestea, ar trebui ca lista autorităților care ar putea să primească date PNR să fie specificată în mai mare detaliu. În ceea ce privește transferurile internaționale, acordul prevede că acestea ar trebui să aibă loc numai dacă destinatarul intenționează să utilizeze datele în conformitate cu prezentul acord și dacă se prezintă garanții privind protejarea vieții private „comparabile” cu cele prevăzute în acord, cu excepția situațiilor de urgență.

26.

În ceea ce privește termenii „comparabile” sau „echivalente” utilizați în acord, AEPD dorește să sublinieze că DHS nu ar trebui să efectueze niciun fel de transferuri naționale sau internaționale ulterioare dacă destinatarul nu prezintă garanții cel puțin la fel de stricte ca cele stabilite în prezentul acord. De asemenea, ar trebui ca acordul să specifice că transferul de date PNR se realizează de la caz la caz, asigurându-se faptul că se transferă către destinatarii relevanți doar datele necesare, fără să se permită excepții. În plus, AEPD recomandă ca transferurile de date către țări terțe să facă în prealabil obiectul unei autorizări judiciare.

27.

Articolul 17 alineatul (4) prevede că, atunci când datele unui rezident al unui stat membru al UE sunt transferate către o țară terță, autoritățile competente din statul membru în cauză trebuie să fie informate în cazul în care DHS are cunoștință de această situație. Această condiție ar trebui eliminată, întrucât DHS ar trebui să fie informat în permanență cu privire la transferurile ulterioare către țări terțe.

28.

Nu este clar ce formă juridică au ales Statele Unite pentru încheierea prezentului acord și nici în ce mod va căpăta acest acord caracter juridic obligatoriu în SUA. Aceste aspecte ar trebui să fie clarificate.

29.

Articolul 20 alineatul (2) abordează aspectul coerenței cu eventualul sistem PNR al UE. AEPD constată că în cadrul consultărilor privind modificarea prezentului acord trebuie să se stabilească în special „dacă orice viitor sistem PNR al UE ar aplica standarde de protecție a datelor mai puțin stricte decât cele prevăzute de prezentul acord”. În vederea asigurării coerenței, eventualele modificări ar trebui să ia în considerare și (mai ales) prevederea unor garanții mai puternice în orice viitor sistem PNR.

30.

De asemenea, acordul ar trebui să fie examinat în contextul noului cadru de protecție a datelor, precum și în contextul eventualei încheieri de către Uniunea Europeană și Statele Unite a unui acord general cu privire la schimbul de date cu caracter personal în cadrul cooperării polițienești și judiciare în materie penală. Se poate adăuga o nouă prevedere, similară articolului 20 alineatul (2), care să menționeze următoarele: „în cazul în care și atunci când se adoptă un nou cadru juridic de protecție a datelor în Uniunea Europeană sau se încheie un nou acord privind schimbul de date între UE și Statele Unite, părțile se consultă pentru a stabili dacă prezentul acord trebuie să fie modificat în consecință. Aceste consultări trebuie să analizeze, în special, dacă eventuala modificare ulterioară a cadrului juridic de protecție a datelor în Uniunea Europeană sau eventualul acord UE-SUA privind protecția datelor ar aplica garanții de protecție a datelor mai stricte decât cele prevăzute de prezentul acord”.

31.

În ceea ce privește examinarea acordului (articolul 23), AEPD consideră că autoritățile naționale de protecție a datelor trebuie să fie incluse în mod explicit în echipa însărcinată cu examinarea. De asemenea, examinarea ar trebui să se concentreze și pe evaluarea necesității și proporționalității măsurilor, precum și pe exercitarea efectivă a drepturilor persoanelor vizate, și să includă verificarea modului în care se prelucrează în practică solicitările persoanelor vizate, în mod special în cazul în care nu se permite accesul direct. Ar trebui să se specifice frecvența examinărilor.

32.

AEPD salută garanțiile privind controlul și securitatea datelor prevăzute în acord, precum și îmbunătățirile acestuia în comparație cu acordul din 2007. Cu toate acestea, rămân numeroase motive de îngrijorare, în mod special în ceea ce privește coerența abordării globale a PNR, limitarea scopului, categoriile de date care urmează să fie transferate către DHS, prelucrarea datelor sensibile, perioada de păstrare, excepțiile de la metoda „push”, drepturile persoanelor vizate și transferurile ulterioare.

33.

Aceste observații nu aduc atingere cerințelor privind necesitatea și proporționalitatea oricărui acord și sistem PNR legitim care prevede transferul în bloc de date PNR din Uniunea Europeană spre țări terțe. După cum a reiterat Parlamentul European în rezoluția sa din 5 mai, „necesitatea și proporționalitatea reprezintă principii esențiale, fără de care lupta împotriva terorismului nu va fi niciodată eficientă”.