9.2.2012   

SL

Uradni list Evropske unije

C 35/16

1.

Komisija je 28. novembra 2011 sprejela predlog sklepa Sveta o sklenitvi Sporazuma med Združenimi državami Amerike in Evropsko unijo o uporabi in prenosu evidenc podatkov o potnikih (PNR) ministrstvu Združenih držav za domovinsko varnost (3) (v nadaljnjem besedilu: sporazum).

2.

Z ENVP je bilo 9. novembra 2011 v okviru hitrega postopka opravljeno neformalno posvetovanje o osnutku predloga. ENVP je 11. novembra 2011 izdal vrsto omejenih pripomb. Namen tega mnenja je dopolniti te pripombe z vidika sedanjega predloga in javno predstaviti stališča ENVP. To mnenje temelji tudi na vrsti predhodnih posredovanj ENVP in delovne skupine iz člena 29 v zvezi s PNR.

3.

Namen sporazuma je zagotoviti trdno pravno podlago za prenos podatkov iz PNR iz EU v ZDA. Prenos trenutno temelji na sporazumu iz leta 2007 (4), ker se je Parlament odločil odložiti glasovanje o soglasju, dokler ne bo odgovora na njegove pomisleke glede varstva podatkov. Parlament se je zlasti v svoji resoluciji z dne 5. maja 2010 (5) skliceval na naslednje zahteve:

4.

Ta sporazum je treba obravnavati v okviru globalnega pristopa k PNR, ki vključuje pogajanja z drugimi tretjimi državami (to je Avstralijo (8) in Kanado (9)) in predlog za sistem PNR na ravni EU (10). Spada tudi na področje trenutnih pogajanj za sporazum med EU in ZDA o izmenjavi osebnih podatkov v okviru policijskega in pravosodnega sodelovanja v kazenskih zadevah (11). Širše gledano je bil sporazum parafiran nekaj tednov pred pričakovanim sprejetjem predlogov za pregled splošnega okvira za varstvo podatkov (12).

5.

ENVP pozdravlja ta globalni pristop, s katerim se želi zagotoviti skladen pravni okvir za sporazume o PNR v skladu s pravnimi zahtevami EU. Vendar obžaluje, da ta časovna naravnanost v praksi ne omogoča zagotoviti skladnosti teh sporazumov z novimi pravili EU o varstvu podatkov. Prav tako bi želel opozoriti, da bi se moral splošni sporazum med EU in ZDA o izmenjavi podatkov uporabljati za sporazum med EU in ZDA o PNR.

6.

V skladu z Listino EU o temeljnih pravicah mora biti vsaka omejitev temeljnih pravic in svoboščin nujna, sorazmerna in določena z zakonom. Kot sta ENVP (13) in delovna skupina iz člena 29 (14) večkrat navedla, nujnost in sorazmernost sistemov PNR in skupinskih prenosov podatkov iz PNR tretjim državam do zdaj nista bili dokazani. S tem stališčem se strinjata tudi Evropski ekonomsko-socialni odbor in Agencija za temeljne pravice (15). Posebne pripombe v nadaljevanju ne vplivajo na to predhodno in temeljno ugotovitev.

7.

Čeprav ta sporazum vsebuje nekatere izboljšave v primerjavi s sporazumom iz leta 2007 ter vključuje ustrezne zaščitne ukrepe v zvezi z varnostjo in nadzorom podatkov, ni bil rešen noben od glavnih pomislekov, izraženih v zgoraj navedenih mnenjih, prav tako pa niso bili izpolnjeni pogoji Evropskega parlamenta za njegovo soglasje (16).

8.

Člen 4(1) sporazuma določa, da ZDA obdelujejo podatke iz PNR za preprečevanje, preiskovanje, odkrivanje in pregon (a) terorističnih kaznivih dejanj in z njimi povezanih kaznivih dejanj ter (b) kaznivih dejanj, za katera so določene zaporne kazni treh let ali več in so mednarodne narave. Nekateri od teh pojmov so dalje opredeljeni.

9.

Čeprav so te opredelitve natančnejše kot v sporazumu iz leta 2007, je še vedno nekaj nejasnih pojmov in izjem, ki bi lahko izničile omejitev namena in oslabile pravno varnost. Zlasti:

10.

Priloga I k sporazumu vsebuje 19 vrst podatkov, ki bodo poslani ZDA. Večina jih vključuje tudi različne kategorije podatkov in je enaka podatkovnim poljem v sporazumu iz leta 2007, ki sta jih ENVP in delovna skupina iz člena 29 že štela za nesorazmerna (18).

11.

To se nanaša zlasti na polje „Splošne opombe, vključno z informacijami OSI (19), SSI (20) in SSR (21)“, s katerim se lahko razkrijejo podatki v zvezi z verskim prepričanjem (na primer želje v zvezi s hrano) ali zdravjem (na primer zahteva za invalidski voziček). Taki občutljivi podatki bi morali biti izrecno izključeni s seznama.

12.

Pri oceni sorazmernosti seznama bi bilo treba upoštevati tudi to, da se bodo te kategorije zaradi vnaprejšnjega prenosa (člen 15(3) sporazuma) nanašale ne samo na dejanske potnike, temveč tudi na posameznike, ki navsezadnje ne bodo leteli (na primer zaradi odpovedi).

13.

Poleg tega lahko prisotnost odprtih podatkovnih polj oslabi pravno varnost. Kategorije, kot so „vse dostopne kontaktne informacije“, „vse informacije o prtljagi“ in „splošne opombe“, bi bilo treba bolje opredeliti.

14.

Zato bi bilo treba seznam skrčiti. V skladu z mnenjem delovne skupine iz člena 29 (22) menimo, da bi morali biti podatki omejeni na naslednje informacije: kodo lokatorja evidence PNR, datum rezervacije, predviden(-e) datum(-e) potovanja, ime potnika, druga imena v PNR, celoten načrt potovanja, identifikatorje za brezplačne vozovnice, enosmerne vozovnice, podatke na vozovnici, podatke ATFQ (Automatic Ticket Fare Quote), številko vozovnice, datum izdaje vozovnice, podatke o neprijavah na let, število kosov prtljage, številke kosov prtljage, podatke o prijavah na let brez rezervacije, število kosov prtljage na vsakem odseku, prostovoljne/neprostovoljne premestitve v višji potovalni razred, pretekle spremembe podatkov iz PNR v zvezi z zgoraj navedenimi elementi.

15.

Člen 6 sporazuma določa, da bo MDV samodejno filtriralo in „prikrilo“ občutljive podatke. Vendar bodo občutljivi podatki shranjeni najmanj 30 dni in se lahko uporabijo v posebnih primerih (člen 6(4)). ENVP bi poudaril, da bodo ti podatki po „prikritju“ še vedno občutljivi in da se bodo nanašali na določljive fizične osebe.

16.

Kot je ENVP že navedel, MDV ne bi smelo obdelovati občutljivih podatkov v zvezi z državljani EU, čeprav se podatki ob prejetju „prikrijejo“. ENVP priporoča, naj se v besedilu sporazuma določi, da letalski prevozniki ne smejo občutljivih podatkov prenesti MDV.

17.

Člen 8 določa, da se bodo podatki hranili v aktivni podatkovni zbirki do pet let, nato bodo preneseni v mirujočo podatkovno zbirko in shranjeni do deset let. Ta maksimalna petnajstletna doba hranjenja je očitno nesorazmerna, ne glede na to, ali se podatki hranijo v „aktivni“ ali „mirujoči“ podatkovni zbirki, kot sta že poudarila ENVP in delovna skupina iz člena 29.

18.

Člen 8(1) določa, da bodo podatki „anonimizirani in prikriti“ po šestih mesecih od datuma, ko jih prejme MDV. Vendar so „prikriti“ podatki in podatki, shranjeni v „mirujoči podatkovni zbirki“, osebni podatki, dokler niso anonimizirani. Podatki bi torej morali biti (nepreklicno) anonimizirani ali izbrisani takoj po analizi ali po največ šestih mesecih.

19.

ENVP pozdravlja člen 15(1), ki določa, da se bodo podatki prenašali z metodo „push“. Vendar se s členom 15(5) od letalskih prevoznikov zahteva, naj v izjemnih okoliščinah „zagotovijo dostop“ do podatkov iz PNR. Da bi dokončno preprečili uporabo sistema „pull“ in glede na pomisleke, ki jih je delovna skupina iz člena 29 nedavno znova izrazila (23), močno priporočamo, naj se v sporazumu izrecno prepove možnost, da bi uradniki ZDA ločeno dostopali do podatkov prek sistema „pull“.

20.

V sporazumu bi bilo treba opredeliti število in pogostost prenosov z letalskih prevoznikov na MDV. Za okrepitev pravne varnosti bi bilo treba podrobneje opredeliti tudi pogoje, pod katerimi bi bili dovoljeni dodatni prenosi.

21.

ENVP pozdravlja člen 5 sporazuma o varnosti in celovitosti podatkov ter zlasti obveznost obvestitve prizadetih posameznikov o incidentu, pri katerem je ogrožena zasebnost podatkov. Vendar bi bilo treba pojasniti naslednje elemente obvestila o kršitvi varstva podatkov:

22.

ENVP podpira obveznost, da se zapišejo ali dokumentirajo vsi dostopi do podatkov iz PNR in njihova obdelava, saj bo to omogočilo preverjanje, ali je MDV ustrezno uporabilo podatke iz PNR in ali je prišlo do nepooblaščenega dostopa do sistema.

23.

ENVP pozdravlja dejstvo, da bodo neodvisni nadzor v zvezi z izpolnjevanjem zaščitnih ukrepov glede zasebnosti iz tega sporazuma opravljali uradniki ministrstva za varstvo zasebnosti, kot je vodja službe za varstvo zasebnosti na MDV, kakor je navedeno v členu 14(1). Vendar bi morali ENVP in nacionalni organi za varstvo podatkov sodelovati z MDV pri postopkih in načinih za uresničevanje teh pravic, da bi zagotovili učinkovito uresničevanje pravic posameznikov, na katere se nanašajo osebni podatki (24). ENVP bi pozdravil sklicevanje na to sodelovanje v sporazumu.

24.

ENVP močno podpira pravico do pritožbe „ne glede na državljanstvo, državo izvora ali stalno prebivališče“, določeno v drugem pododstavku člena 14(1). Vendar obžaluje, da je v členu 21 izrecno navedeno, da sporazum „v skladu z zakonodajo ZDA ne ustvarja ali podeljuje pravic ali koristi nobenim osebam“. Čeprav je pravica do „sodne presoje“ v ZDA zagotovljena na podlagi sporazuma, taka pravica ne sme biti enakovredna pravici do učinkovitega uveljavljanja pravnih sredstev v EU, zlasti z vidika omejitve iz člena 21.

25.

Člen 16 sporazuma prepoveduje prenos podatkov nacionalnim organom, ki za PNR ne zagotavljajo „enakovrednih ali primerljivih“ zaščitnih ukrepov, kakor so določeni v tem sporazumu. ENVP pozdravlja to določbo. Vendar bi bilo treba seznam organov, ki lahko prejmejo podatke iz PNR, podrobneje opredeliti. Kar zadeva mednarodne prenose, sporazum določa, da se lahko opravijo samo, če bo prejemnik uporabljal podatke skladno s tem sporazumom in bo navedel zaščitne ukrepe glede zasebnosti, ki so „primerljivi“ s tistimi iz sporazuma, razen v izjemnih okoliščinah.

26.

V zvezi z izrazoma „primerljiv“ ali „enakovreden“, uporabljenima v sporazumu, bi ENVP želel poudariti, da MDV ne sme opraviti nobenega domačega ali mednarodnega nadaljnjega prenosa, razen če prejemnik navede ustrezne zaščitne ukrepe, ki niso manj strogi od zaščitnih ukrepov, določenih v sporazumu. V sporazumu bi bilo treba pojasniti tudi to, da bo prenos podatkov iz PNR opravljen za vsak primer posebej, s čimer bo zagotovljeno, da bodo ustreznim prejemnikom preneseni samo nujni podatki, pri čemer ne sme biti nobenih izjem. Poleg tega ENVP priporoča, da se za prenose podatkov tretjim državam zahteva predhodna sodna odobritev.

27.

Kadar je MDV seznanjeno s prenosom podatkov o državljanu države članice EU tretji državi, člen 17(4) določa, da je treba o tem obvestiti pristojne organe zadevne države članice. Ta pogoj bi bilo treba izbrisati, ker bi moralo biti MDV vedno seznanjeno z nadaljnjimi prenosi tretjim državam.

28.

Ni jasno, kakšno pravno obliko je ZDA izbrala za sklenitev tega sporazuma in kako bo ta sporazum postal pravno zavezujoč v ZDA. To bi bilo treba pojasniti.

29.

Člen 20(2) se nanaša na skladnost z morebitnim sistemom PNR v EU. ENVP ugotavlja, da bi bilo treba pri posvetovanjih o prilagoditvi tega sporazuma zlasti preučiti, „ali bi za kakršen koli prihodnji sistem PNR v EU veljali manj strogi zaščitni ukrepi glede varstva podatkov kot tisti iz tega sporazuma“. Za zagotovitev skladnosti bi bilo treba pri kakršni koli prilagoditvi upoštevati tudi (in zlasti) močnejše zaščitne ukrepe v kakršnem koli prihodnjem sistemu PNR.

30.

Sporazum bi bilo treba pregledati tudi z vidika novega okvira o varstvu podatkov in morebitne sklenitve splošnega sporazuma med EU in ZDA o izmenjavi osebnih podatkov v okviru policijskega in pravosodnega sodelovanja v kazenskih zadevah. Dodati bi bilo mogoče novo določbo, podobno členu 20(2), v kateri bi bilo navedeno, da „če in ko bo v EU sprejet nov pravni okvir o varstvu podatkov ali sklenjen nov sporazum o izmenjavi podatkov med EU in ZDA, se pogodbenici posvetujeta in preučita, ali bi bilo treba ta sporazum ustrezno prilagoditi. Na takšnem posvetovanju se zlasti preuči, ali bi za kakršno koli prihodnjo spremembo pravnega okvira EU o varstvu podatkov ali kakršen koli prihodnji sporazum med EU in ZDA o varstvu podatkov lahko veljali manj strogi zaščitni ukrepi za varstvo podatkov kot tisti iz tega sporazuma“.

31.

Kar zadeva pregled sporazuma (člen 23), ENVP meni, da bi morali biti nacionalni organi za varstvo podatkov izrecno vključeni v ekipo za pregled. Pregled bi moral biti osredotočen tudi na oceno nujnosti in sorazmernosti ukrepov ter učinkovito uresničevanje pravic posameznikov, na katere se nanašajo osebni podatki, in vključevati preverjanje, kako se zahteve posameznikov, na katere se nanašajo osebni podatki, obravnavajo v praksi, zlasti v primerih, v katerih neposreden dostop ni dovoljen. Treba bi bilo določiti pogostost pregledov.

32.

ENVP pozdravlja zaščitne ukrepe za varstvo in nadzor podatkov, predvidene v sporazumu, in izboljšave v primerjavi s sporazumom iz leta 2007. Vendar številni pomisleki ostajajo nerešeni, zlasti kar zadeva skladnost globalnega pristopa k PNR, omejitev namena, kategorije podatkov, ki se prenesejo MDV, obdelavo občutljivih podatkov, dobo hranjenja, izjeme od metode „push“, pravice posameznikov, na katere se nanašajo osebni podatki, in nadaljnje prenose.

33.

Te pripombe ne vplivajo na zahtevi po nujnosti in sorazmernosti za kakršen koli zakonit sistem PNR in sporazum o skupinskem prenosu podatkov iz PNR iz EU v tretje države. Kot je Evropski parlament znova potrdil v svoji resoluciji z dne 5. maja, „sta nujnost in sorazmernost ključni načeli, brez katerih boj proti terorizmu ne more biti učinkovit“.