1.5.2008   

SL

Uradni list Evropske unije

C 110/1

1.

Komisija je ENVP poslala osnutek predloga okvirnega sklepa Sveta o uporabi evidence podatkov o potnikih (PNR) za namene kazenskega pregona (v nadaljevanju „predlog“), da bi se z njim posvetovala v skladu s členom 28(2) Uredbe (ES) št. 45/2001.

2.

Predlog se nanaša na obdelavo podatkov PNR v okviru EU in je tesno povezan z drugimi sistemi zbiranja in uporabe podatkov o potnikih, zlasti s sporazumom med EU in ZDA iz julija 2007. Takšni sistemi so za ENVP zelo zanimivi, decembra 2006 pa je že imel priložnost zadevnim zainteresiranim stranem (3) poslati nekaj začetnih pripomb k vprašalniku Komisije glede načrtovanega sistema EU za PNR. ENVP izraža zadovoljstvo zaradi posvetovanja s Komisijo. ENVP meni, da bi bilo treba to mnenje navesti v preambuli sklepa Sveta.

3.

Namen predloga je uskladitev določb držav članic o obveznostih letalskih prevoznikov, ki opravljajo lete na ozemlje ali z ozemlja vsaj ene države članice, glede posredovanja podatkov PNR pristojnim organom za namene preprečevanja terorističnih kaznivih dejanj in organiziranega kriminala ter boja proti njim.

4.

Evropska unija je z ZDA in s Kanado sklenila sporazum o posredovanju podatkov PNR za namene primerjanja. Prvi sporazum, ki je bil z ZDA sklenjen maja 2004, je bil nadomeščen z drugim sporazumom julija 2007 (4). Julija 2005 je bil sklenjen podoben sporazum s Kanado (5). Poleg tega se bodo v kratkem začela pogajanja med EU in Avstralijo glede sporazuma o izmenjavi podatkov PNR, pa tudi Južna Koreja zahteva podatke PNR za lete na njeno ozemlje, ne da bi bila v tej fazi načrtovana pogajanja na evropski ravni.

5.

V okviru EU predlog dopolnjuje Direktivo Sveta 2004/82/ES (6) o dolžnosti prevoznikov, da posredujejo podatke o potnikih, označene kot predhodne informacije o potnikih (podatki API), zaradi boja proti nezakonitemu priseljevanju in izboljšanja mejne kontrole. Države članice bi morale prenesti to direktivo v notranjo zakonodajo najpozneje do 5. septembra 2006. Vendar pa vse države članice še niso zagotovile njenega izvajanja.

6.

V nasprotju s podatki API, ki naj bi pripomogli k identifikaciji posameznikov, bi podatki PNR iz predloga bili v pomoč pri ocenjevanju tveganja v zvezi z osebami, pridobivanju obveščevalnih podatkov ter ugotavljanju povezav med znanimi in neznanimi osebami.

7.

Predlog zajema naslednje glavne elemente:

8.

Predlog, ki ga obravnava ENVP v okviru posvetovanja, je nadaljnji korak proti rutinskemu zbiranju podatkov o posameznikih, ki načeloma niso osumljeni kaznivih dejanj. Kot že povedano, se ta premik odvija na mednarodni in evropski ravni.

9.

ENVP ugotavlja, da sta tudi Delovna skupina iz člena 29 in Delovna skupina za policijo in pravosodje predložili skupno mnenje o predlogu (8). ENVP podpira navedeno mnenje. V pričujočem mnenju je izpostavljenih in nadalje obravnavanih več dodatnih vprašanj.

10.

Čeprav so v mnenju ENVP analizirani vsi pomembni vidiki predloga, se največ pozornosti namenja štirim glavnim vprašanjem.

11.

V zadnjem delu se obravnavajo druga vsebinska vprašanja, vključno s pozitivnimi ukrepi glede varstva podatkov, a tudi dodatni pomisleki, izhajajoči iz predloga.

12.

Da bi analizirali legitimnost predlaganih ukrepov v skladu s temeljnimi načeli varstva podatkov, zlasti členom 8 evropske listine o temeljnih pravicah ter členi 5 do 8 Konvencije Sveta Evrope št. 108 (9), je treba jasno opredeliti namen načrtovanega obdelovanja osebnih podatkov, da bi ocenili njegovo nujnost in sorazmernost. Treba bi se bilo prepričati, ali za dosego predvidenega namena morda ne obstaja drugo sredstvo, ki bi manj posegalo v zasebnost.

13.

Iz besedila predloga in njegove presoje vpliva je razvidno, da cilj ni samo identifikacija znanih teroristov ali znanih storilcev kaznivih dejanj, vpletenih v organizirani kriminal, s primerjanjem njihovih imen z imeni na seznamih, ki jih vodijo organi kazenskega pregona. Namen je pridobivanje obveščevalnih podatkov v zvezi s terorizmom ali organiziranim kriminalom, bolj podrobno pa „ocenjevanje tveganja v zvezi s posameznimi osebami, pridobivanje obveščevalnih podatkov ter povezovanje znanih in neznanih oseb“ (10). Podobno je opisan namen v členu 3(5) predloga – šlo naj bi predvsem za „identifikacijo oseb, ki so ali bi lahko bile vpletene v teroristično kaznivo dejanje ali kaznivo dejanje, povezano z organiziranim kriminalom, ter njihovih sodelavcev“.

14.

S tem razlogom naj bi pojasnili, da podatki API ne zadostujejo za dosego načrtovanega namena. Kot je že bilo povedano, naj bi podatki API pripomogli k identifikaciji posameznikov, medtem ko podatki PNR temu niso namenjeni, vendar pa bi bile podrobnosti iz teh podatkov v pomoč pri ocenjevanju tveganja v zvezi z osebami, pridobivanju obveščevalnih podatkov ter ugotavljanju povezav med znanimi in neznanimi osebami.

15.

Namen načrtovanih ukrepov ne vključuje le zajetja znanih oseb, temveč tudi odkrivanje oseb, ki bi lahko ustrezale merilom predloga.

Pri identifikaciji teh oseb imata v projektu osnovno vlogo ocena tveganja in ugotavljanje vzorcev. Uvodna izjava 9 predloga izrecno navaja, da je treba podatke hraniti „dovolj dolgo, da dosežejo svoj namen, in sicer razvoj kazalnikov tveganja ter opredelitev potovalnih in vedenjskih vzorcev“.

16.

Tako opisan namen je torej dvostopenjski: prva stopnja zajema globalni cilj, tj. boj proti terorizmu in organiziranemu kriminalu, druga stopnja pa vključuje sredstva in ukrepe, neobhodno potrebne za dosego tega cilja. Medtem ko se zdi boj proti terorizmu in organiziranemu kriminalu kot namen dovolj jasen in legitimen, pa bi se dalo o sredstvih, ki se uporabijo za dosego tega namena, še razpravljati.

17.

V predlogu se ne omenja, na kakšen način se bodo ugotavljali vzorci in kako bo opravljena ocena tveganja. V presoji vpliva je pojasnjeno, da bodo podatki PNR uporabljeni za analizo podatkov o potnikih „glede na kombinacijo lastnosti in vedenjskih vzorcev za namene priprave ocene tveganja. Kadar potnik ustreza določeni oceni tveganja, je lahko identificiran kot visoko tvegan potnik“ (11).

18.

Osumljene osebe bi lahko izbrali glede na dejanske elemente suma iz njihovih podatkov PNR (na primer, stik s sumljivo potovalno agencijo, navedba glede ukradene kreditne kartice) in tudi na podlagi „vzorcev“ ali abstraktnega profila. Na podlagi potovalnih vzorcev bi seveda lahko sestavili različne standardne profile „običajnih potnikov“ ali „sumljivih potnikov“. Ti profili bi omogočili nadaljnjo preiskavo potnikov, ki ne spadajo v „kategorijo običajnih potnikov“, toliko bolj, če je njihov profil povezan z drugimi sumljivimi elementi, na primer ukradeno kreditno kartico.

19.

Čeprav ni mogoče sklepati, da bi bili potniki vzeti na tarčo zaradi svoje vere ali drugih občutljivih podatkov, pa se ne glede na to zdi, da bi bili predmet preiskave na podlagi mešanih dejanskih in abstraktnih podatkov, vključno s standardnimi vzorci in abstraktnimi profili.

20.

O tem, ali bi takšna vrsta preiskave lahko štela za izdelavo profilov, bi se dalo razpravljati. Izdelava profilov bi vključevala „računalniško podprto metodo z uporabo podatkovnega rudarjenja v podatkovnem skladišču, s čimer se omogoči ali naj bi se omogočilo, da se z določeno mero verjetnosti, in torej tudi z nekaj dovoljenega odstopanja, posameznik uvrsti v posebno kategorijo, da bi v zvezi s to osebo sprejeli individualne ukrepe“ (12).

21.

ENVP je seznanjen s trenutno potekajočimi razpravami glede opredelitve izdelave profilov. Ne glede na to, ali se uradno prizna, da je cilj predloga izdelava profilov o potnikih, pa bistveno vprašanje niso opredelitve, temveč posledice za posameznike.

22.

Glavni pomislek ENVP se nanaša na dejstvo, da bodo odločitve o posameznikih sprejete na podlagi vzorcev in meril, določenih z uporabo podatkov o potnikih na splošno. Tako bi bile lahko odločitve o posamezniku sprejete tako, da bi kot referenco (vsaj deloma) uporabili vzorce, ki izhajajo iz podatkov drugih posameznikov. Odločitve bodo torej sprejete glede na abstrakten okvir, kar bi lahko zelo vplivalo na posameznike, na katere se nanašajo podatki. Posamezniki se izredno težko branijo pred takšnimi odločitvami.

23.

Poleg tega je predvideno, da se opravi ocena tveganja, če ni enotnih standardov za identifikacijo osumljencev. ENVP ima resne dvome glede pravne varnosti celotnega postopka filtriranja, saj so po njegovem mnenju merila, po katerih bodo pregledali vsakega potnika, slabo opredeljena.

24.

ENVP opozarja na sodno prakso Evropskega sodišča za človekove pravice, po kateri mora biti notranje pravo dovolj natančno, da državljanom pove, v kakšnih okoliščinah in pod kakšnimi pogoji smejo javni organi shranjevati podatke o njihovem zasebnem življenju in jih uporabiti. Podatki „bi morali biti dostopni zadevni osebi, učinki glede njih pa predvidljivi“. Predpis je „predvidljiv“, „če je opredeljen dovolj natančno, da lahko vsak posameznik – če je treba, ob ustreznem nasvetu – usmerja svoje ravnanje“ (13).

25.

Kot zaključek naj navedemo, da je treba zadevni predlog skrbno preučiti predvsem zaradi tovrstnih tveganj. Medtem ko je splošen namen boja proti terorizmu in organiziranemu kriminalu sam po sebi jasen in legitimen, pa se zdi, da samo bistvo obdelave podatkov, ki se bo izvajala, ni dovolj opredeljeno in upravičeno. ENVP zato poziva zakonodajalca EU, naj pred sprejetjem okvirnega sklepa razjasni to vprašanje.

26.

Kot je prikazano zgoraj, ukrepi očitno posegajo v zasebnost. Po drugi strani pa njihova koristnost še zdaleč ni dokazana.

27.

Presoja vpliva predloga se osredotoča na to, kako bi vzpostavili PNR EU na najboljši način, in ne toliko na to, koliko je takšna PNR sploh potrebna. V presoji se navajajo sistemi PNR (14), ki so vzpostavljeni v drugih državah, tj. v ZDA in Združenem kraljestvu. Vendar pa lahko obžalujemo, da dejstva in podatki, povezani s temi sistemi, niso dovolj natančni. V signalnem sistemu Združenega kraljestva se poroča o „številnih aretacijah“ v zvezi z „različnimi kaznivimi dejanji“, ne da bi pri tem natančno pojasnili povezavo s terorizmom ali organiziranim kriminalom. Glede programa v ZDA ni navedenih nobenih podrobnosti, razen da „je EU lahko ocenila vrednost podatkov PNR in spoznala njihove zmožnosti za namene kazenskega pregona“.

28.

Ne le, da v predlogu ni dovolj natančnih informacij o konkretnih rezultatih takšnih sistemov PNR, tudi poročila, ki so jih objavile druge agencije, na primer GAO (Government Accountability Office) v Združenih državah Amerike, v tej fazi ne potrjujejo učinkovitosti ukrepov (15).

29.

ENVP meni, da je treba dodatno oceniti tehnike, s katerimi se ob uporabi orodij za rudarjenje podatkov in vedenjskih vzorcev ocenjuje tveganje, ki ga predstavljajo posamezniki, koristnost tehnik pa je treba jasno opredeliti v okviru boja proti terorizmu, še preden se uporabijo v tako velikem obsegu.

30.

Da bi ugotovili razmerje med poseganjem v zasebnost posameznika in nujnostjo ukrepa (16), se upoštevajo naslednji elementi:

31.

Skladnost z načelom sorazmernosti ne pomeni le, da je predlagan ukrep učinkovit, temveč tudi, da predvideni namen predloga ne more biti dosežen z uporabo instrumentov, ki bi manj posegali v zasebnost. Učinkovitost načrtovanih ukrepov ni bila dokazana. Skrbno je treba preveriti obstoj drugih možnosti, preden se uvedejo dodatni/novi ukrepi za obdelavo osebnih podatkov. Po mnenju ENVP takšna izčrpna presoja ni bila opravljena.

32.

ENVP želi opozoriti na druge velike sisteme za spremljanje gibanja posameznikov v EU in na njenih mejah, ki že delujejo ali pa bodo v kratkem vpeljani, predvsem vizumski informacijski sistem (17) in schengenski informacijski sistem (18). Medtem ko glavni cilj teh instrumentov ni boj proti terorizmu ali organiziranemu kriminalu, pa imajo organi kazenskega pregona oziroma bodo imeli do neke mere dostop do njih v širšem okviru boja proti kriminalu (19).

33.

Drug primer zadeva razpoložljivost osebnih podatkov, ki so vključeni v državne policijske podatkovne zbirke – zlasti biometričnih podatkov – v okviru Prümske pogodbe, podpisane maja 2005 in razširjene na vse države članice Evropske unije (20).

34.

Vsem tem različnim instrumentom je skupno, da omogočajo globalno spremljanje gibanja posameznikov, čeprav z drugačnega vidika. Način, na katerega že lahko prispevajo k boju proti posebnim oblikam kriminala, vključno s terorizmom, bi bilo treba poglobljeno in izčrpno analizirati, preden bi se odločili za uvedbo nove oblike sistematičnega pregledovanja vseh oseb, ki z letalom odhajajo iz EU ali tja prihajajo. ENVP priporoča, naj Komisija opravi takšno analizo kot nujen korak v zakonodajnem postopku.

35.

Glede na povedano ENVP navaja naslednje sklepe glede legitimnosti predlaganih ukrepov. Razvijanje različnih podatkovnih zbirk brez globalnega pogleda na dejanske rezultate in pomanjkljivosti:

36.

Boj proti terorizmu je vsekakor lahko legitimen razlog za uporabo izjem od temeljnih pravic do zasebnosti in varstva podatkov. Da pa se ga utemelji, je treba nujnost posega v zasebnost podpreti z jasnimi in nespornimi elementi ter dokazati sorazmernost obdelave podatkov. To je še toliko bolj potrebno v primeru večjega poseganja v zasebnost posameznikov, kakor je to predvideno v predlogu.

37.

Ugotovimo lahko le, da v predlogu ni takšnih utemeljitvenih elementov ter da preizkus glede nujnosti in sorazmernosti ne vzdrži.

38.

ENVP vztraja, da je preizkus glede nujnosti in sorazmernosti, kot je opisano zgoraj, bistvenega pomena. Je neobhodni pogoj za uveljavitev zadevnega predloga. Vse nadaljnje opombe ENVP v tem mnenju je treba brati v luči tega predpogoja.

39.

Analiza se v nadaljevanju osredotoča na tri točke:

40.

Člen 11 predloga navaja, da „[d]ržave članice zagotovijo, da se Okvirni sklep Sveta o varstvu osebnih podatkov, ki se obdelujejo v okviru policijskega in pravosodnega sodelovanja v kazenskih zadevah (…), uporablja za obdelavo osebnih podatkov v skladu s tem okvirnim sklepom“.

41.

Vendar pa kljub tej določbi ni jasno, do kakšne mere se bo okvirni sklep o varstvu podatkov, ki je sicer instrument tretjega stebra Pogodbe EU, uporabljal za podatke, ki jih obdelujejo letalski prevozniki, zbirajo EIP in nadalje uporabljajo drugi pristojni organi.

42.

Prva faza obdelave osebnih podatkov, ki jo predvideva predlog, je obdelava s strani letalskih prevoznikov, ki morajo podatke PNR dati na razpolago nacionalnim EIP, načeloma z uporabo sistema push. Po besedilu predloga in presoje vpliva (22) bi lahko sklepali, da bi letalski prevozniki lahko podatke pošiljali posrednikom tudi v neprečiščeni obliki. Dejavnost letalskih prevoznikov poteka primarno v komercialnem okolju, za katerega velja nacionalna zakonodaja o varstvu podatkov, ki uveljavlja Direktivo 95/46/ES (23). Vprašanja o pravu, ki se uporablja, se bodo pojavila, kadar se zbrani podatki uporabljajo v namene kazenskega pregona (24).

43.

Podatke bi nato filtriral posrednik (da bi jim dal obliko in izključil podatke PNR, ki niso vključeni na seznam podatkov, zahtevanih po predlogu) ali pa bi bili poslani neposredno EIP. Posredniki bi lahko bili tudi iz zasebnega sektorja, kot je denimo tudi SITA, ki deluje kot posrednik v okviru sporazuma o PNR s Kanado.

44.

Kar zadeva EIP, ki so odgovorne za oceno tveganja za celotni skup podatkov, ni jasno, kdo bo odgovoren za obdelavo. Pri njej bi lahko sodelovali carinski in mejni organi in ne nujno organi kazenskega pregona.

45.

Nadaljnje pošiljanje prečiščenih podatkov „pristojnim“ organom bi se verjetno odvijalo v okviru kazenskega pregona. Predlog navaja, da „[p]ristojni organi vključujejo samo organe, ki so pristojni za preprečevanje terorističnih kaznivih dejanj in organiziranega kriminala ali boj proti njim“.

46.

Pri pomikanju naprej skozi faze obdelave so udeleženi akterji in načrtovani namen vse tesneje povezani s policijskim in pravosodnim sodelovanjem v kazenskih zadevah. Vendarle pa v predlogu ni izrecno navedeno, kdaj natančno se bo uporabil okvirni sklep o varstvu podatkov. Po besedilu bi lahko celo sklepali, da se uporablja za obdelavo podatkov v celoti in tudi za letalske prevoznike (25). Vendar pa okvirni sklep o varstvu osebnih podatkov že sam po sebi vsebuje nekatere omejitve.

47.

Glede na to ENVP načelno dvomi v to, da bi se naslov VI Pogodbe EU lahko uporabil kot pravna podlaga za rutinske pravne obveznosti in za namene kazenskega pregona akterjev iz zasebnega sektorja. Poleg tega se je ustrezno vprašati tudi, ali se lahko naslov VI Pogodbe EU uporabi kot pravna podlaga za pravne obveznosti javnih organov, ki načeloma ne spadajo v okvir sodelovanja na področju kazenskega pregona. Ti dve vprašanji se v tem mnenju obravnavata v nadaljevanju.

48.

Besedilo predloga okvirnega sklepa Sveta o varstvu osebnih podatkov, ki se obdelujejo v okviru policijskega in pravosodnega sodelovanja v kazenskih zadevah, vsebuje najmanj dve pomembni omejitvi glede področja uporabe.

49.

Prvič, področje uporabe okvirnega sklepa o varstvu podatkov je v okvirnem sklepu dobro opredeljeno: uporablja se „le za podatke, ki jih pristojni organi zbirajo ali obdelujejo za namen preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvajanja kazni“ (26).

50.

Drugič, okvirni sklep o varstvu podatkov naj se ne bi uporabljal za podatke, ki se obdelujejo samo na ravni države, temveč je omejen na izmenjavo podatkov med državami članicami in njihovo nadaljnje posredovanje tretjim državam (27).

51.

Okvirni sklep o varstvu podatkov ima tudi nekatere slabosti v primerjavi z Direktivo 95/46/ES, zlasti precejšnjo izjemo od načela o omejitvi namena. Kar zadeva načelo o namenu, je v predlogu namen jasno omejen na obdelavo podatkov v okviru boja proti terorizmu in organiziranemu kriminalu. Vendar pa okvirni sklep o varstvu podatkov dopušča tudi obdelavo za širše namene. V takšnem primeru naj bi lex specialis (predlog) prevladal nad lex generalis (okvirni sklep o varstvu podatkov) (28). To bi bilo treba v besedilu predloga izrecno poudariti.

52.

Zaradi tega ENVP priporoča, da bi predlogu dodali naslednjo določbo: „Osebni podatki, ki jih letalski prevozniki posredujejo v skladu s tem okvirnim sklepom, se smejo obdelovati le za namene boja proti terorizmu in organiziranemu kriminalu. Izjeme, predvidene z ozirom na načelo o namenu v okvirnem sklepu Sveta o varstvu osebnih podatkov, ki se obdelujejo v okviru policijskega in pravosodnega sodelovanja v kazenskih zadevah, se ne uporabljajo“.

53.

Na koncu ENVP ugotavlja, da je pravna varnost v zvezi z ureditvijo varstva podatkov, ki se uporablja za različne akterje v projektu, zlasti pa za letalske prevoznike in druge akterje iz prvega stebra, precej pomanjkljiva, najsi gre za pravila iz predloga, pravila iz okvirnega sklepa o varstvu podatkov ali pa nacionalno zakonodajo za uveljavitev Direktive 95/46/ES. Zakonodajalec bi moral jasno navesti, v katerem trenutku obdelave se bodo ta različna pravila uporabljala.

54.

ENVP v osnovi dvomi v dejstvo, da bi instrument tretjega stebra ustvarjal rutinske pravne obveznosti za namene kazenskega pregona akterjev iz zasebnega ali javnega sektorja, ki načeloma ne spadajo v okvir sodelovanja na področju kazenskega pregona.

55.

Na tem mestu bi lahko naredili primerjavo z dvema drugima primeroma, v katerih je zasebni sektor sodeloval pri hrambi oziroma pošiljanju podatkov z vidika kazenskega pregona, in sicer:

56.

V zadevnem predlogu o PNR EU morajo letalski prevozniki sistematično dati na razpolago podatke PNR za vse potnike. Vendar pa se ti podatki organom kazenskega pregona ne pošiljajo neposredno v neprečiščeni obliki, pač pa jih je mogoče poslati posredniku in preden se izbrani podatki pošljejo pristojnim organom, jih oceni tretja oseba, katere status je nejasen.

57.

Poglavitni del obdelave podatkov se odvija v sivi coni ob vsebinski povezavi s prvim in tudi s tretjim stebrom. Kakor je nakazano v poglavju IV, pa narava akterjev, ki obdelujejo podatke, ni jasna. Letalski prevozniki očitno niso organi pregona, medtem ko so posredniki lahko tudi subjekti iz zasebnega sektorja. Tudi glede EIP, ki naj bi bile javni organ, je treba poudariti, da nimajo vsi javni organi narave in pristojnosti, da bi rutinsko opravljali naloge kazenskega pregona.

58.

Običajno so dejavnosti kazenskega pregona jasno ločene od dejavnosti zasebnega sektorja, pri čemer naloge kazenskega pregona opravljajo posebej temu namenjeni organi, zlasti policija, zasebni subjekti pa so od primera do primera naprošeni, da tem organom pregona pošljejo osebne podatke. Sedaj obstaja tendenca, da bi k sodelovanju za namene kazenskega pregona sistematično pritegnili zasebne subjekte, zaradi česar se pojavlja vprašanje, kateri okvir za varstvo podatkov (prvi ali tretji steber) velja za pogoje za takšno sodelovanje: ali bi bilo treba pravila utemeljiti na naravi nadzornika podatkov (zasebni sektor) ali na predvidenem namenu (kazenski pregon)?

59.

ENVP je že opozoril na tveganje pravne vrzeli med dejavnostmi iz prvega in tretjega stebra (31). Zares je zelo nejasno, ali dejavnosti zasebnih podjetij, ki so na nek način povezane z uveljavljanjem kazenskega prava, spadajo v področje ukrepanja zakonodajalca Evropske unije v skladu s členi 30, 31 in 34 PEU.

60.

Če se splošni okvir (tj. prvi steber) ne bi uporabljal, bi imel izvajalec storitev težko nalogo, da razlikuje znotraj svojih zbirk podatkov. Pod sedanjo ureditvijo je jasno, da mora nadzornik podatkov zagotavljati varstvo podatkov oseb, na katere se ti podatki nanašajo, v enaki meri ne glede na namene, ki upravičujejo hrambo podatkov. Zaradi tega bi se bilo torej treba izogniti temu, da bi se za obdelavo podatkov s strani izvajalcev storitev za različne namene uporabljali različni okviri za varstvo podatkov.

61.

Če bi se na nacionalni ravni uporabljale različne pravne ureditve, bi to imelo zelo velik učinek predvsem na uveljavljanje pravic posameznikov, na katere se nanašajo podatki.

62.

V preambuli predloga je navedeno, da je treba v okviru okvirnega sklepa o varstvu podatkov zagotoviti pravice do informacij, dostopa, popravkov, izbrisa, zamrznitve ter odškodnine in pravnih sredstev. Vendar pa ta navedek ne odgovori na vprašanje, kateri nadzornik je pristojen za odgovarjanje na zahteve posameznikov, na katere se nanašajo podatki.

63.

Medtem ko bi informacije o obdelavi letalski prevozniki lahko posredovali, pa je dostop do podatkov ali njihovo popravljanje bolj zapleteno vprašanje. Ti dve pravici sta po okvirnem sklepu o varstvu podatkov zares omejeni. Kakor je bilo že povedano, ni gotovo, ali bi lahko izvajalca storitev, na primer letalskega prevoznika, zavezali k temu, da bi omogočal pravico dostopa in pravico do popravljanja podatkov, ki jih ima, različno glede na uporabljen namen (komercialni namen ali namen kazenskega pregona). Lahko bi utemeljevali, da bi bilo ti dve pravici treba uveljavljati pri EIP ali drugih določenih pristojnih organih. Vendar pa v predlogu ni drugih navedb v tem smislu in, kot je že bilo povedano, prav tako ni jasno, ali bodo ti organi (vsaj EIP) organi kazenskega pregona, ki običajno izvajajo postopke v zvezi z omejenim (po možnosti posrednim) dostopom.

64.

Posameznik bi bil lahko soočen tudi z različnimi prejemniki podatkov, kar zadeva EIP, saj se podatki dejansko res pošiljajo EIP v državi odhoda/prihoda leta, lahko pa tudi EIP v drugih državah članicah, odvisno od primera. Poleg tega je mogoče, da več držav članic ustanovi ali določi le eno in skupno EIP. Posameznik, na katerega se nanašajo podatki, bi se v takšnem primeru morda moral pritožiti pri organu druge države članice. Pri tem spet ni jasno, ali bodo veljali nacionalni predpisi glede varstva podatkov (ki naj bi bili usklajeni na ravni EU) ali pa se bo upoštevala posebna zakonodaja v zvezi s kazenskim pregonom (glede na nezadostno uskladitev v tretjem stebru na ravni držav).

65.

Isto vprašanje velja v zvezi z dostopom do podatkov, ki jih obdelujejo posredniki, katerih status je nejasen in s katerimi lahko hkrati sodelujejo letalski prevozniki iz različnih držav EU.

66.

ENVP obžaluje, da uveljavljanje teh temeljnih pravic posameznikov, na katere se nanašajo podatki, še vedno ostaja negotovo. Poudarja, da se lahko takšno stanje pripiše predvsem dejstvu, da se takšne obveznosti naložijo subjektom, katerih glavna naloga sicer ni kazenski pregon.

67.

ENVP meni, da bi bilo treba v predlogu jasno navesti, katera pravna ureditev se uporablja v posameznih fazah obdelave in pri katerem akterju oziroma organu je treba zaprositi za dostop ali se pritožiti. ENVP opozarja, da bi morale biti v skladu s členom 30(1)(b) PEU določbe o varstvu podatkov ustrezne in zajemati celo vrsto postopkov za obdelavo, določenih v predlogu. Preprosto sklicevanje na okvirni sklep o varstvu podatkov ne zadostuje zaradi omejenega področja uporabe tega okvirnega sklepa in omejitve pravic v njem. V zvezi s sodelovanjem organov kazenskega pregona bi se morala pravila iz okvirnega sklepa o varstvu podatkov uporabljati vsaj za celotno obdelavo, predvideno po predlogu, da bi zagotovili usklajeno uporabo načel o varstvu podatkov.

68.

ENVP ugotavlja, da v predlogu ni posebej razložena narava prejemnikov osebnih podatkov, ki jih zbirajo letalski prevozniki, torej niti posrednikov niti enot za informacije o potnikih in niti pristojnih organov. Treba je poudariti, da je narava prejemnika neposredno povezana z vrsto zagotovil glede varstva podatkov, po katerih se ravna ta prejemnik. Razlika med zagotovili, ki jih določajo zlasti pravila za prvi in tretji steber, je že bila omenjena. Bistvenega pomena je, da se razjasni, katero ureditev naj bi uporabljali vsi zadevni akterji, vključno z nacionalnimi vladami, organi kazenskega pregona, organi za varstvo podatkov in nadzorniki podatkov ter posamezniki, na katere se nanašajo podatki.

69.

V predlogu ni navedeno, kakšno naravo imajo posredniki (32). Prav tako ni podrobno razložena vloga posrednikov kot nadzornikov ali obdelovalcev podatkov. Iz prakse se zdi, da bi se subjektu iz zasebnega sektorja, na primer računalniškemu sistemu rezervacij ali drugemu subjektu, prav lahko zaupala naloga zbiranja podatkov PNR neposredno od letalskih prevoznikov in njihovo posredovanje EIP. Na takšen način se obdelujejo podatki v okviru sporazuma o PNR s Kanado. Za obdelavo podatkov je odgovorna družba SITA (33). Vloga posrednika je odločilna, saj bi ta lahko bil odgovoren za filtriranje/preoblikovanje podatkov, ki jih letalski prevozniki posredujejo v neprečiščeni obliki (34). Tudi če bi posredniki morali izbrisati obdelane podatke, potem ko so jih posredovali EIP, pa je že sama obdelava zelo občutljiva – posledica faze posrednikov je vzpostavitev dodatne podatkovne zbirke, v kateri so zbrane ogromne količine podatkov, med drugim, glede na predlog, tudi občutljivih podatkov (posredniki morajo v takšnem primeru te občutljive podatke izbrisati). Zaradi tega ENVP priporoča, da posredniki ne bi bili vključeni v obdelavo podatkov o potnikih, razen če se natančno opredelijo njihova narava in naloge.

70.

EIP imajo odločilno vlogo pri identificiranju oseb, ki so ali bi lahko bile udeležene pri terorizmu ali organiziranemu kriminalu ali povezane z njima. Glede na predlog bodo odgovorne za oblikovanje kazalnikov tveganja in zagotavljanje obveščevalnih podatkov o potovalnih vzorcih (35). Če je ocena tveganja utemeljena na standardiziranih potovalnih vzorcih in ne na stvarnih dokazih, povezanih s konkretnim primerom, lahko analiza šteje za proaktivno preiskavo. ENVP poudarja, da je takšna vrsta obdelave načeloma strogo urejena z zakonodajo države članice (če je že ne prepoveduje), za obdelavo pa so odgovorni posebni javni organi, katerih delovanje je prav tako strogo urejeno.

71.

EIP je torej zaupana zelo občutljiva obdelava podatkov, ne da bi bili v predlogu natančneje opredeljeni njihova narava in pogoji, pod katerimi bi izvajale to pristojnost. Čeprav bo to nalogo verjetno opravljal vladni organ, po možnosti carinska ali mejna kontrola, pa predlog ne prepoveduje izrecno, da bi države članice njeno opravljanje zaupale obveščevalnim službam ali celo kakšnemu obdelovalcu. ENVP poudarja, da preglednost in jamstva, ki veljajo za obveščevalne službe, niso vedno enaka tistim, ki držijo za tradicionalne organe kazenskega pregona. Odločilna je podrobna opredelitev narave EIP, saj bo to imelo neposredne posledice glede pravnega okvira, ki se uporablja, in zahtev v zvezi z nadzorom. ENVP meni, da je treba v predlog vključiti dodatno določbo za podrobno opredelitev posebnih lastnosti EIP.

72.

Iz člena 4 predloga bi lahko sklepali, da podatke lahko prejme kateri koli organ, ki je pristojen za preprečevanje terorističnih kaznivih dejanj in organiziranega kriminala ali za boj proti njim. Medtem ko je namen jasno opredeljen, pa narava organa ni. V predlogu ni predvideno, da bi bili prejemniki omejeni le na organe kazenskega pregona.

Kot že prej v zvezi z EIP je odločilnega pomena, da se zadevni občutljivi podatki obdelujejo v okolju, za katerega velja jasen pravni okvir. To veliko bolj drži, na primer, za organe kazenskega pregona kot pa za obveščevalne službe. Glede na elemente rudarjenja podatkov in proaktivnega iskanja iz predloga pa ni mogoče izključiti, da te obveščevalne službe ali kakršne koli druge vrste organov ne bodo sodelovale pri obdelovanju podatkov.

73.

ENVP na splošno ugotavlja, da je uveljavitev sistema PNR EU postala še težja, saj imajo organi kazenskega pregona glede na nacionalno pravo držav članic različne pristojnosti v zvezi z obveščevalnimi podatki, davki, priseljevanjem ali policijo. To je še dodatni razlog za priporočilo, da je treba v predlogu precej bolj natančno opredeliti naravo omenjenih akterjev in jamstva glede nadzorovanja opravljanja njihovih nalog. V predlog bi bilo treba vključiti dodatne določbe, da bi natančno določili pristojnosti in pravne obveznosti posrednikov, EIP in drugih pristojnih organov.

74.

V predlogu je določenih nekaj varoval v zvezi s posredovanjem podatkov PNR v tretje države (36). Zlasti je izrecno določeno, da se za posredovanje podatkov uporablja okvirni sklep o varstvu podatkov, določena je omejitev na poseben namen in potreba po soglasju države članice v primeru nadaljnjega posredovanja podatkov drugi tretji državi. Posredovanje mora biti tudi v skladu z nacionalno zakonodajo zadevne države članice in z vsemi veljavnimi mednarodnimi sporazumi.

75.

Nerazjasnjenih pa je še veliko vprašanj, predvsem v zvezi z naravo soglasja, pogoji za uporabo okvirnega sklepa o varstvu podatkov ter vprašanje „vzajemnosti“ v primeru pošiljanja podatkov tretjim državam.

76.

Država članica izvora mora dati izrecno soglasje za posredovanje podatkov iz tretje države v drugo tretjo državo. V predlogu ni opredeljeno, pod kakšnimi pogoji bo dano to soglasje in kdo ga bo dal niti ali bi morali pri tej odločitvi sodelovati tudi nacionalni organi za varstvo podatkov. ENVP meni, da bi moral biti način, kako bo soglasje dano, skladen vsaj z nacionalnim pravom, ki določa pogoje za posredovanje osebnih podatkov v tretje države.

77.

Poleg tega soglasje države članice ne bi smelo prevladati nad načelom, po katerem mora država prejemnica zagotoviti ustrezno raven varstva podatkov pri predvideni obdelavi. Ti pogoji bi morali biti kumulativni, kakor so tudi v okvirnem sklepu o varstvu podatkov (člen 14). ENVP zato predlaga, da se členu 8(1) doda točka (c) z besedilom: „in (c) tretja država zagotavlja ustrezno raven varstva pri predvideni obdelavi podatkov“. ENVP v tem oziru opozarja, da je treba vzpostaviti mehanizme, ki glede ustreznosti zagotavljajo skupne standarde in usklajene odločitve (37).

78.

Predlog se sklicuje na pogoje in varovala iz okvirnega sklepa o varstvu podatkov, izrecno pa navaja tudi nekatere pogoje, zlasti omenjeno soglasje zadevne države članice in omejitev namena na preprečevanje terorističnih kaznivih dejanj in organiziranega kriminala ter boj proti njim.

79.

Okvirni sklep o varstvu podatkov določa pogoje za prenos osebnih podatkov v tretje države, in sicer glede omejitve namena, narave prejemnikov, soglasja države članice in načela o ustreznosti. Predvideva pa tudi odstopanja od teh pogojev za prenos, in sicer so zakoniti veljavni interesi, zlasti pomembni javni interesi, lahko zadostna podlaga za prenos, tudi če našteti pogoji niso izpolnjeni.

80.

Kakor je že bilo omenjeno v poglavju III tega mnenja, ENVP meni, da je treba v besedilu predloga jasno navesti, da bolj natančna jamstva iz predloga prevladajo nad splošnimi pogoji – in izjemami – iz okvirnega sklepa o varstvu podatkov, kjer se uporablja.

81.

V predlogu se obravnava vprašanje morebitnih „zahtev v zameno“, ki bi jih države lahko predložile EU, da bi od nje dobile podatke PNR za lete iz EU na njihovo ozemlje. Če EU zahteva podatke iz podatkovnih zbirk letalskih prevoznikov teh tretjih držav, ker opravljajo lete v EU oziroma iz EU, bi lahko te tretje države isto zahtevale od letalskih prevoznikov iz EU, vključno s podatki državljanov EU. Čeprav Komisija meni, da ta možnost ni „zelo verjetna“, pa jo vseeno upošteva. V tem oziru je v predlogu omenjeno, da se v sporazumih z ZDA in Kanado predvideva takšna vzajemna obravnava, „ki bi se lahko uveljavila samodejno“ (38). ENVP ima dvome glede pomena takšne samodejne vzajemnosti in uporabe varoval za takšne prenose, še posebno ob upoštevanju obstoja ustrezne ravni varstva v zadevni državi.

82.

Treba bi bilo razlikovati med tretjimi državami, ki so z EU že sklenile sporazum, in državami, s katerimi še ni takšnega sporazuma.

83.

ENVP ugotavlja, da bi lahko vzajemnost privedla do tega, da bi se osebni podatki pošiljali državam, ki ne morejo dati nobenih zagotovil glede demokratičnih standardov in ustrezne ravni varstva podatkov.

84.

V presoji vpliva so navedeni še drugi elementi glede pogojev prenosa podatkov v tretje države. Poudarjene so prednosti sistema PNR EU, v katerem podatke filtrirajo EIP. Pristojnim organom držav članic in domnevno tudi tretjim državam naj bi se pošiljali le izbrani podatki o osumljenih posameznikih (in ne podatki v neprečiščeni obliki) (39). ENVP priporoča, da bi se v besedilu predloga to vprašanje razjasnilo. Preprost navedek v presoji vpliva pa ne zagotavlja potrebnega varstva.

85.

Izbiranje podatkov bi prispevalo k temu, da se kar najbolj zmanjša vpliv na zasebnost potnikov, treba pa je opozoriti, da načela o varstvu podatkov segajo precej dlje od tega, da se čim bolj zmanjša količina podatkov, saj vključujejo tudi načela glede potrebnosti, preglednosti in uveljavljanja pravic posameznikov, na katere se nanašajo podatki, vsa ta pravila pa je treba upoštevati pri ugotavljanju, ali tretja država zagotavlja ustrezno raven varstva.

86.

V presoji vpliva je navedeno, da bo takšna obdelava zagotovila, da bo EU lahko „vztrajala pri nekaterih standardih in zagotovila doslednost pri takšnih dvostranskih sporazumih s tretjimi državami. Zagotovila bo tudi možnost, da se od tretjih držav, s katerimi ima EU sporazum, zahteva vzajemnost, kar danes sicer ni možno“ (40).

87.

Iz teh opažanj izhaja vprašanje, kako bo predlog vplival na obstoječa sporazuma s Kanado in ZDA. Pogoji dostopa do podatkov so v teh sporazumih dejansko precej bolj prožni, saj podatki niso predmet podobnega izbiranja, preden se pošljejo zadevnima tretjima državama.

88.

V presoji vpliva je navedeno, da „se v primerih, ko ima EU s tretjo državo mednarodni sporazum o izmenjavi/prenosu podatkov iz PNR v to tretjo državo, takšni sporazumi ustrezno upoštevajo. Prevozniki bi morali podatke PNR poslati enotam za informacije o potnikih v skladu z običajno prakso v okviru sedanjega ukrepa. EIP, ki sprejme te podatke, jih pošlje pristojnemu organu tretje države, s katero je takšen sporazum sklenjen“ (41).

89.

Medtem ko se zdi, da je po eni strani cilj predloga prenos le izbranih podatkov pristojnim organom v EU ali zunaj nje, pa je v presoji vpliva, preambuli predloga (uvodna izjava 21) in členu 11 navedeno, da je treba ustrezno upoštevati obstoječe sporazume. Iz tega bi lahko sklepali, da bi lahko bilo filtriranje podatkov veljavno le za sporazume, ki se bodo sklenili v prihodnje. S tega vidika bi lahko predvidevali, da bo dostop do podatkov v neprečiščeni obliki še vedno praviloma veljal za dostop, na primer, organov ZDA do podatkov PNR – v skladu z določbami sporazuma med EU in ZDA, vzporedno in glede na posamezen primer pa bi lahko prišlo tudi do prenosa podatkov v ZDA, tj. posebnih podatkov, ki jih izberejo EIP, vključno s podatki, ki zadevajo lete v ZDA, a ne omejeno le nanje.

90.

ENVP obžaluje, da ta odločilni poudarek predloga ni dovolj razjasnjen. Meni, da je izredno pomembno, da so pogoji za prenos podatkov PNR v tretje države jasni in da za podatke velja usklajena raven varstva. Poleg tega bi bilo treba zaradi pravne varnosti vključiti podrobnosti glede zagotovil, ki veljajo za prenos podatkov, v predlog kot tak in ne le v presojo vpliva, kot je to sedaj.

91.

ENVP ugotavlja, da predlog izrecno izključuje, da bi enote za informacije o potnikih in pristojni organi držav članic sprejeli izvršilne ukrepe zgolj na podlagi avtomatizirane obdelave podatkov PNR ali rasnega ali etičnega porekla, verskih ali filozofskih prepričanj, političnih mnenj ali spolne usmerjenosti osebe (42).

92.

Takšno pojasnilo je dobrodošlo, saj se tako omeji nevarnost samovoljnih ukrepov proti posameznikom. ENVP pa vseeno ugotavlja, da je pojasnilo omejeno na izvršilne ukrepe EIP ali pristojnih organov. Sedanja različica besedila ne izključuje avtomatiziranega filtriranja posameznikov glede na standardne profile, prav tako ne preprečuje avtomatiziranega sestavljanja seznamov osumljenih oseb in sprejemanja takšnih ukrepov, kot je razširjeni nadzor, če ti ukrepi ne štejejo za izvršilne ukrepe.

93.

ENVP meni, da je pojem izvršilnih ukrepov preveč nedoločen in da se nobena odločitev glede posameznikov načeloma ne bi smela sprejeti le zaradi avtomatizirane obdelave njihovih podatkov (43). ENVP priporoča, da se besedilo ustrezno spremeni.

94.

V predlogu je v členu 5(2) navedena pomembna podrobnost, in sicer da letalskim prevoznikom ni treba zbirati ali hraniti drugih podatkov, kakor so podatki, zbrani za prvotne komercialne namene.

95.

Še vedno pa je treba dodatno razložiti več vidikov obdelave teh podatkov:

V tem oziru ENVP podpira poudarke iz mnenja WP29.

96.

Letalski prevozniki s sedežem zunaj EU morajo EIP ali posrednikom posredovati podatke po metodi push, če imajo za to tehnično infrastrukturo. Če je nimajo, bodo morali dovoliti, da se podatki črpajo z metodo pull.

97.

Zadevni letalski prevozniki pošiljajo podatke na različne načine, zaradi česar se bo pojavilo še več težav v zvezi z nadzorom skladnosti prenosa podatkov PNR s pravili o varstvu podatkov. Zaradi tega obstaja tudi tveganje, da bo izkrivljena konkurenca med letalskimi prevozniki iz EU in zunaj nje.

98.

ENVP opozarja, da je metoda push, ki letalskim prevoznikom omogoča, da nadzorujejo vrsto poslanih podatkov in okoliščine prenosov, edina dopustna metoda z ozirom na sorazmernost obdelave. Poleg tega mora vsebovati dejanski „push“, tj. podatki se posredniku ne smejo poslati v neprečiščeni obliki, temveč jih je treba filtrirati že v prvi fazi obdelave. Nedopustno je, da bi se nepotrebni podatki – in podatki, ki niso vključeni v prilogo 1 predloga – pošiljali tretji strani, čeprav bi ta takoj izbrisala te podatke.

99.

Člen 9 predloga predvideva petletno obdobje hrambe podatkov PNR in dodatno osemletno obdobje, v katerem naj bi se podatki hranili v „mirujoči“ podatkovni zbirki, ki bo dostopna pod omejenimi pogoji.

100.

ENVP se sprašuje, kakšna je razlika med tema dvema vrstama podatkovnih zbirk. Vprašanje je, ali je mirujoča podatkovna zbirka zares arhiv z različnimi metodami shranjevanja in priklica podatkov. Večina pogojev za dostop do mirujoče podatkovne zbirke dejansko vsebuje varnostne zahteve, ki bi se lahko uporabljale tudi za „podatkovno zbirko, v kateri se podatki hranijo pet let“.

101.

Celotno trajanje hrambe, tj. 13 let, je v vsakem primeru pretirano. V presoji vpliva je ta čas utemeljen s potrebo, da se pripravijo kazalci tveganja ter opredelijo potovalni in vedenjski vzorci (46), učinkovitost katerih je treba še dokazati. Medtem ko je očitno, da se lahko med preiskavo, ki še teče, podatki hranijo toliko časa, kot je to potrebno v posameznem primeru, pa nikakor ni mogoče upravičiti trinajstletne hrambe podatkov vseh potnikov, če ni nikakršnega suma.

102.

ENVP ugotavlja tudi, da tega obdobja hrambe ne podpirajo niti odgovori držav članic na vprašalnik Komisije, v skladu s katerimi naj bi bilo zahtevano povprečno trajanje hrambe tri leta in pol (47).

103.

Poleg tega bi lahko obdobje 13 let primerjali s petnajstletnim obdobjem hrambe iz zadnjega sporazuma z Združenimi državami. ENVP razume, da je bilo to dolgo obdobje hrambe odobreno le zaradi velikih pritiskov vlade ZDA, da bi bilo obdobje precej daljše od treh let in pol, česar ne Svet ne Komisija nista zagovarjala v nobeni fazi. Nobenega razloga pa ni, da bi takšen kompromis, ki je bil upravičen le kot nujni rezultat pogajanj, prenesli v pravni instrument na ravni EU.

104.

Odbor držav članic, ustanovljen po členu 14 predloga, bo pristojen za varnostna vprašanja, vključno s protokolom in šifriranjem podatkov PNR, pa tudi za smernice glede skupnih splošnih meril, metod in prakse za ocene tveganja.

105.

Razen teh navedb pa predlog ne vsebuje drugih elementov ali meril glede konkretnih pogojev in okvira za postopek ocene tveganja. V presoji vpliva je omenjeno, da bodo v končni fazi merila odvisna od obveščevalnih podatkov, ki jih imajo posamezne države članice in se neprestano razvijajo. Ocena tveganja naj bi se tako izvajala brez enotnih standardov za identifikacijo osumljencev. Zaradi tega se zdi negotovo, v kakšnem obsegu bo odbor držav članic lahko s tega vidika imel vlogo.

106.

V predlogu je podrobno opisana vrsta varnostnih ukrepov (48), ki naj bi jih v zvezi z varstvom podatkov sprejeli EIP, posredniki in drugi pristojni organi. Glede na pomen podatkovne zbirke in občutljivost obdelave podatkov ENVP meni, da bi se moral subjekt, ki obdeluje podatke, držati predvidenih ukrepov, obenem pa tudi uradno sporočiti kakršno koli kršitev varnosti.

107.

ENVP je seznanjen s projektom za vzpostavitev takšnega postopka obveščanja na področju elektronskih komunikacij na evropski ravni. Priporoča, da bi takšno varovalo vključili v zadevni predlog in se v tem oziru navezuje na sistem za kršitve varnosti, ki je bil vzpostavljen v Združenih državah v zvezi z državnimi agencijami (49). Do nezgod na področju varnosti lahko pride na katerem koli področju dejavnosti v zasebnem in javnem sektorju, kakor se je pokazalo nedavno, ko je britanska uprava izgubila celotne podatkovne zbirke državljanov (50). Obsežne podatkovne zbirke, kakor je zbirka, ki se predvideva po predlogu, bi bile prve na prednostnem seznamu uporabnikov takšnega sistema opozarjanja.

108.

ENVP ugotavlja, da naj bi se v treh letih po začetku veljavnosti okvirnega sklepa izvedel pregled na podlagi poročila, ki ga pripravi Komisija. Ugotavlja, da bo v tem pregledu na podlagi informacij, ki jih priskrbijo države članice, posebna pozornost namenjena varovalom za varstvo podatkov, pregledani pa bodo tudi izvajanje metode „push“, hramba podatkov in kakovost ocene tveganja. Da bi bil takšen pregled izčrpen, bi moral zajemati rezultate analize statističnih podatkov, izdelanih na podlagi obdelave podatkov PNR. V te statistične podatke bi morali poleg elementov, navedenih v členu 18 predloga, vključiti tudi statistične podrobnosti glede identifikacije oseb, ki predstavljajo veliko tveganje, na primer merila za takšno identifikacijo ter konkretne rezultate vsakršnih ukrepov kazenskega pregona, ki izhajajo iz identifikacije.

109.

ENVP je v tem mnenju že omenil pomanjkanje konkretnih elementov, s katerimi bi ugotovili, ali je predlagani sistem zares potreben. Vseeno pa meni, da bi bilo treba okvirni sklep v primeru, da začne veljati, dopolniti vsaj še s klavzulo o časovni omejitvi njegove veljavnosti. Okvirni sklep bi bilo treba po poteku treh let razveljaviti, če ne bi bilo elementov, ki bi podprli njegovo nadaljevanje.

110.

V končnih določbah je v predlogu naveden pogoj glede nadaljnje uporabe že obstoječih dvostranskih ali večstranskih sporazumov ali ureditev. Ti instrumenti se lahko uporabljajo le, če so združljivi s cilji predlaganega okvirnega sklepa.

111.

ENVP ima dvome glede področja uporabe te določbe. Kot je bilo že omenjeno v poglavju V pod „Vzajemnost“, ni jasno, kakšen učinek bo ta določba imela na vsebino sporazumov s tretjimi državami, na primer na sporazum z ZDA. Po drugi strani prav tako ni jasno, ali bi določba lahko imela učinek na pogoje uporabe instrumentov s širšim področjem uporabe, na primer na konvencijo Sveta Evrope št. 108. Ker gre za različna institucionalna ozadja in različne udeležene akterje, ni veliko možnosti za napačno razlago, ne glede na to pa bi se bilo treba izogniti vsakršnemu tveganju v zvezi z njo in v predlogu jasno navesti, da predlog nima učinka na instrumente s širšim področjem uporabe, zlasti na tiste, katerih predmet je varstvo temeljnih pravic.

112.

ENVP izpostavlja glavne učinke v zvezi z varstvom podatkov iz zadevnega predloga. V analizi se osredotoča na štiri temeljna vprašanja, ki jih sproža predlog, in vztraja, da je treba ta vprašanja izčrpno obravnavati. V sedanjih okoliščinah predlog ni skladen s temeljnimi pravicami, zlasti s členom 8 Listine o temeljnih pravicah Evropske unije, in ne bi smel biti sprejet.

113.

Da bi se ravnali po zgoraj navedenih pripombah, zlasti v zvezi s preizkusom legitimnosti, je v tem mnenju navedenih nekaj predlogov za besedilo, ki bi jih moral zakonodajalec upoštevati. Zlasti je treba navesti točke 67, 73, 77, 80, 90, 93, 106, 109 in 111 tega mnenja.

114.

Medtem ko je splošen namen boja proti terorizmu in organiziranemu kriminalu sam po sebi jasen in legitimen, pa samo bistvo obdelave podatkov, ki se bo izvajala, ni dovolj opredeljeno in upravičeno.

115.

ENVP meni, da je treba dodatno oceniti tehnike, s katerimi se ocenjuje tveganje, ki ga predstavljajo posamezniki, in sicer z uporabo orodij za rudarjenje podatkov in vedenjskih vzorcev, njihovo koristnost pa je treba jasno opredeliti v okviru boja proti terorizmu, še preden se uporabijo v tako velikem obsegu.

116.

Opiranje na različne podatkovne zbirke brez celotnega pogleda na dejanske rezultate in pomanjkljivosti:

117.

Boj proti terorizmu je vsekakor lahko legitimen razlog za uporabo izjem od temeljnih pravic do zasebnosti in varstva podatkov. Da pa se ga utemelji, je treba nujnost poseganja podpreti z jasnimi in nespornimi elementi ter dokazati sorazmernost obdelave. To je še toliko bolj potrebno v primeru večjega poseganja v zasebnost posameznikov, kot je to predvideno v predlogu.

118.

V predlogu ni takšnih utemeljitvenih elementov, preizkus glede nujnosti in sorazmernosti pa ne vzdrži.

119.

ENVP vztraja, da je preizkus glede nujnosti in sorazmernosti, kot je opisano zgoraj, bistvenega pomena. Je neobhodni pogoj za uveljavitev predloga.

120.

ENVP ugotavlja, da je pravna varnost v zvezi z ureditvijo, ki se uporablja za različne akterje v projektu, zlasti pa za letalske prevoznike in druge akterje iz prvega stebra, zelo pomanjkljiva, najsi gre za pravila iz predloga, pravila iz okvirnega sklepa o varstvu podatkov ali pa nacionalno zakonodajo za uveljavitev Direktive 95/46/ES. Zakonodajalec bi moral jasno navesti, v katerih fazah obdelave podatkov se bodo ta različna pravila uporabljala.

121.

Trenutna tendenca je, da bi bili zasebni subjekti sistematično zavezani k sodelovanju za namene kazenskega pregona, zaradi česar se pojavlja vprašanje, kateri okvir za varstvo podatkov (prvi ali tretji steber) velja za pogoje za takšno sodelovanje: ni jasno, ali bi morala pravila temeljiti na naravi nadzornika podatkov (zasebni sektor) ali na predvidenem namenu (kazenski pregon).

122.

ENVP je že izpostavil tveganje pravne vrzeli med dejavnostmi iz prvega in tretjega stebra (51). Zares je zelo nejasno, ali dejavnosti zasebnih podjetij, ki so na nek način povezane z uveljavljanjem kazenskega prava, spadajo v področje ukrepanja zakonodajalca Evropske unije v skladu s členi 30, 31 in 34 PEU-ja.

123.

Zaradi tega bi se bilo treba izogniti temu, da bi se za obdelavo podatkov s strani izvajalcev storitev za različne namene uporabljali različni okviri za varstvo podatkov, zlasti če upoštevamo težave, ki bi jih to povzročilo v zvezi z uveljavljanjem pravic posameznikov, na katere se nanašajo podatki.

124.

V predlogu bi bilo treba posebej razložiti naravo prejemnikov osebnih podatkov, ki jih zbirajo letalski prevozniki, najsi bodo to posredniki, enote za informacije o potnikih ali pristojni organi.

125.

Narava prejemnika, v določenih primerih bi to lahko bili akterji iz zasebnega sektorja, je neposredno povezana z vrsto zagotovil za varstvo podatkov, ki veljajo za zadevnega prejemnika. Bistvenega pomena je, da se vsem udeleženim akterjem pojasni, katera ureditev naj bi se uporabljala, vključno z zakonodajalcem, organi za varstvo podatkov in nadzorniki podatkov ter posamezniki, na katere se nanašajo podatki.

126.

ENVP poudarja, da je treba zagotoviti, da država prejemnica zagotavlja ustrezno stopnjo varstva. Izraža tudi dvom glede pomena načela „vzajemnosti“ iz predloga in njegove uporabe za države, ki že imajo sporazum z EU, na primer Kanada in ZDA. Meni, da je izredno pomembno, da so pogoji za prenos podatkov PNR v tretje države jasni in da za podatke velja usklajena raven varstva.

127.

ENVP opozarja zakonodajalca tudi na posebne vidike predloga, ki jih je treba natančneje razjasniti ali v zvezi s katerimi je treba bolje upoštevati načelo varstva podatkov. Zlasti gre pri tem za naslednje vidike:

128.

ENVP ugotavlja, da zadevni predlog nastaja v trenutku, ko se bo institucionalni okvir Evropske unije spremenil v osnovi. Posledice lizbonske pogodbe na področju odločanja bodo temeljnega pomena, zlasti glede vloge Parlamenta.

129.

Ob upoštevanju neprecedenčnega učinka predloga z vidika temeljnih pravic ENVP priporoča, da se predlog ne sprejme v okviru sedanjega okvira pogodb, temveč da se zanj uporabi postopek soodločanja, predviden po novi pogodbi. To bi utrdilo pravno podlago, na kateri bi se sprejemali odločilni ukrepi, predvideni v predlogu.

1.

zaščite državne varnosti, javne varnosti, denarnih interesov države ali zatiranja kriminala;

2.

zaščite dajalcev (posameznikov) podatkov ali pravic in svoboščin drugih.“