Kommissionens beslut av den 14 maj 2004 om adekvat skydd av personuppgifter som finns i Passenger Name Record för flygpassagerare som överförs till Förenta staternas tull- och gränsskyddsmyndighet [delgivet med nr K(2004) 1914] (Text av betydelse för EES) (2004/535/EG)
EUROPEISKA GEMENSKAPERNAS KOMMISSION HAR FATTAT DETTA BESLUT
med beaktande av Fördraget om upprättandet av Europeiska gemenskapen,
med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, särskilt artikel 25.6 i detta, och
(1) Enligt direktiv 95/46/EG skall medlemsstaterna föreskriva att överföring av personuppgifter till ett tredjeland endast får ske om ifrågavarande tredjeland har en adekvat skyddsnivå och om medlemsstaternas lagar om genomförande av andra bestämmelser i direktivet efterlevs före överföringen.
(2) Kommissionen kan konstatera att ett tredjeland har en adekvat skyddsnivå. I sådana fall får personuppgifter överföras från medlemsstaterna utan att det behövs några ytterligare garantier.
(3) Enligt direktiv 95/46/EG skall bedömningen av skyddsnivån ske mot bakgrund av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter, varvid särskilt skall beaktas vissa för överföringen relevanta aspekter som anges i artikel 25.2 i direktivet.
(4) I samband med lufttransporter avses med Passenger Name Record (PNR) en uppsättning uppgifter om varje passagerares resa som det bokningsansvariga flygbolaget och andra medverkande flygbolag behöver för bokning och bokningskontroll. För tillämpningen av detta beslut avses med passagerare även besättningsmedlem. Begreppet bokningsansvarigt flygbolag betyder ett flygbolag hos vilket passageraren gjorde sin ursprungliga bokning eller för vilket tilläggsbokningar gjordes efter att resan påbörjades. Begreppet medverkande flygbolag betyder ett flygbolag hos vilket det bokningsansvariga flygbolaget har begärt att plats skall hållas på en eller flera flygningar för en passagerare.
(5) Förenta staternas tull- och gränsskyddsmyndighet, CBP (Bureau of Customs and Border Protection) i Departementet för hemlandets säkerhet, DHS (Department of Homeland Security) kräver att alla lufttrafikföretag som bedriver passagerartrafik till och från Förenta staterna ger CBP elektronisk tillgång till de PNR som samlas in och lagras i lufttrafikföretagens automatiska bokningssystem.
(6) Kraven om överföring till CBP av personuppgifter i flygpassagerarnas PNR grundar sig på en lag som antogs av Förenta staterna i november 2001 och de tillämpningsföreskrifter som CBP har antagit i överensstämmelse med denna lag.
(7) Den aktuella amerikanska lagen syftar till att öka säkerheten och skärpa villkoren för in- och utresa i landet, frågor för vilka Förenta staterna har högsta beslutanderätt inom det egna rättsskipningsområdet. De krav som ställs strider inte heller mot Förenta staternas internationella åtaganden. Förenta staterna är ett demokratiskt land och ett rättssamfund med en stark tradition när det gäller medborgerliga friheter. Lagstiftningsprocessens legitimitet och domstolarnas styrka och oberoende går inte att ifrågasätta. En annan stark garanti mot en kränkning av medborgerliga friheter är pressfriheten.
(8) Gemenskapen stöder fullständigt Förenta staternas kamp mot terrorism inom de ramar som fastställs i gemenskapsrätten. Gemenskapsrätten tillhandahåller regler som gör det möjligt att hitta en nödvändig balans mellan säkerhetskrav och skydd av privatlivet. Till exempel framgår det av artikel 13 i direktivet 95/46/EG att medlemsstaterna genom lagstiftning får begränsa omfattningen av vissa krav i direktivet, om en sådan begränsning är nödvändig med hänsyn till statens säkerhet, försvar eller allmänna säkerhet eller förebyggande av, undersökning av, avslöjande av eller åtal för brott.
(9) Den aktuella överföringen av uppgifter gäller särskilda registeransvariga, dvs. flygbolag som flyger mellan gemenskapen och Förenta staterna, och avser endast en mottagare i Förenta staterna, nämligen CBP.
(10) Varje avtal som ingås för att skapa rättsliga ramar för överföringar av PNR till Förenta staterna, särskilt på grundval av detta beslut, bör vara tidsbegränsat. En överenskommelse har träffats om en period på tre och ett halvt år. Under denna period kan förhållandena förändras avsevärt och gemenskapen och Förenta staterna är därför överens om att det kommer att bli nödvändigt att utvärdera avtalet.
(11) När CBP mottar PNR behandlar den flygpassagerarnas personuppgifter i enlighet med villkoren i den åtagandeförklaring som myndigheten avgav den 11 maj 2004 (Undertakings of the Department of Homeland Security Bureau of Customs and Border Protection, nedan kallat åtagandeförklaringen) samt den nationella amerikanska lagstiftning som nämns i åtagandeförklaringen.
(12) När det gäller Förenta staternas nationella lagstiftning är lagen om informationsfrihet, FOIA (Freedom of Information Act) relevant i detta sammanhang, därför att den fastställer villkoren för när CBP kan motsätta sig krav på utlämnande av uppgifter och därigenom se till att PNR behandlas konfidentiellt. FOIA reglerar utlämnandet av PNR till den registrerade, vilket har ett nära samband med dennes rätt till tillgång till uppgifter. FOIA gäller såväl amerikanska som utländska medborgare.
(13) När det gäller åtagandeförklaringen kommer dess innehåll att enligt dess punkt 44 att införlivas i, eller har redan införlivats i en rad lagar (statutes), förordningar (regulations), direktiv (directives) eller andra instrument i Förenta staterna, vilket betyder att de får rättslig verkan i varierande grad. Åtagandeförklaringen kommer att offentliggöras i sin helhet i det federala registret (Federal Register) av DHS. Den utgör således ett viktigt och välövervägt politiskt åtagande från DHS, och Förenta staterna och gemenskapen kommer gemensamt att utvärdera hur den efterlevs. Bristande efterlevnad skulle på så sätt kunna påtalas via rättsliga, administrativa och politiska kanaler, beroende på vad som är mest lämpligt, och om bristerna kvarstod skulle följden bli att detta beslut upphävs.
(14) Normerna som CBP, på grundval av den amerikanska lagstiftningen och åtagandeförklaringen, kommer att tillämpa för behandlingen av passagerares PNR-uppgifter omfattar nödvändiga grundprinciper för att säkerställa en adekvat skyddsnivå för fysiska personer.
(15) När det gäller principen om avgränsning av ändamålet, skall flygpassagerares personuppgifter i PNR som överförs till CBP behandlas för ett särskilt ändamål och kommer därför endast att användas eller lämnas vidare om detta inte strider mot syftet med överföringen. PNR-uppgifter kommer endast att användas i syfte att förebygga och bekämpa terrorism och därmed relaterad kriminalitet samt andra allvarliga brott, inklusive organiserad brottslighet, av gränsöverskridande beskaffenhet och flykt från ett anhållnings- eller häktningsbeslut för dessa brott.
(16) När det gäller uppgifternas kvalitet och proportionalitetsprincipen som skall beaktas i samband med de viktiga allmänna intressen som är skälet till att PNR-uppgifterna överförs, kommer CBP inte att ändra i PNR-uppgifter som den mottagit. Högst 34 PNR-kategorier kommer att överföras och de amerikanska myndigheterna kommer att rådgöra med kommissionen före eventuella krav på nya poster. Ytterligare personuppgifter som söks som ett direkt resultat av konkreta PNR-uppgifter får när det gäller andra källor än offentliga register endast inhämtas via lagliga kanaler. Som en allmän regel kommer PNR-uppgifter att utplånas efter högst tre år och sex månader, med undantag för sådana uppgifter som har konsulterats för särskilda undersökningar eller på annat sätt har konsulterats manuellt.
(17) När det gäller öppenhetsprincipen kommer CBP att informera resenärer om syftet med överföring och behandling av uppgifter och lämna uppgifter om identiteten på den registeransvarige i tredjeland och övrig information.
(18) När det gäller säkerhetsprincipen kommer CBP att vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder med hänsyn till den risk som behandlingen innebär.
(19) Rätten till tillgång och rättelse tillgodoses, eftersom den registrerade kan begära en kopia av sina PNR-uppgifter och få uppgifterna rättade om de är felaktiga. De undantag som anges motsvarar i stort sett de begränsningar som medlemsstaterna kan införa enligt artikel 13 i direktivet 95/46/EG.
(20) Vidareöverföring kommer att göras till andra terroristbekämpande eller rättsvårdande offentliga myndigheter, inklusive utländska myndigheter, efter en bedömning av varje enskilt fall, för ändamål motsvarande dem som fastställs i förklaringen om ändamålsavgränsning. Överföringar kan dessutom göras för att skydda den registrerades eller andra personers vitala intressen, särskilt när det gäller väsentliga hälsorisker, eller i samband med straffrättsliga förfaranden eller på grund av andra hänsyn till lagen. Dessa mottagande organ, som omfattas av de uttryckliga bestämmelserna om utlämnande av uppgifter, får endast använda uppgifterna för de syften som uppgavs vid förfrågan och måste ha CBP:s godkännande för att få vidareöverföra uppgifterna. Inga andra utländska, federala, statliga eller lokala organ har direkt elektronisk tillgång till PNR genom CBP:s databaser. CBP kommer, med stöd av undantagsbestämmelserna i FOIA att vägra att offentliggöra PNR.
(21) CBP använder inte sådana känsliga uppgifter som avses i artikel 8 i direktiv 95/46/EG och i väntan på att ett system med filter har installerats som kan ta bort sådana uppgifter från PNR som överförs till Förenta staterna, åtar sig CBP att införa möjligheter för att radera sådana uppgifter, samt att under tiden inte använda dessa uppgifter.
(22) När det gäller verkställandemekanismer för säkerställande av att CBP följer ovan nämnda principer, har man beslutat om utbildning och information av personalen inom CBP och infört påföljder som kan användas mot enskilda anställda. Övervakningen av hur CBP respekterar den personliga integriteten sköts av den tjänsteman inom DHS som ansvarar för skyddet av privatlivets helgd (Chief Privacy Officer); denna tjänsteman har stor organisatorisk självständighet och avlägger årligen rapport till kongressen. Personer vilkas PNR-uppgifter har överförts kan vända sig till CBP, eller om ärendet inte får någon lösning, till ovannämnda tjänsteman inom DHS, antingen direkt eller via medlemsstaternas dataskyddsmyndigheter. DHS:s kontor för skydd av privatlivets helgd (Privacy Office) kommer skyndsamt att handlägga sådana klagomål från invånare i gemenskapen som medlemsstaternas dataskyddsmyndigheter hänvisat dit på dessas vägnar, om den klagande anser att CBP eller DHS:s kontor för skydd av privatlivets helgd inte har behandlat ärendet på ett tillfredsställande sätt. En grupp som leds av CBP i samarbete med DHS och kommissionen kommer årligen att granska hur åtagandeförklaringen efterlevs.
(23) För att värna om principen om öppenhet och för att säkerställa att de behöriga myndigheterna i medlemsstaterna har befogenhet att kunna garantera att fysiska personer skyddas i samband med behandling av deras personuppgifter, är det nödvändigt att specificera under vilka särskilda omständigheter som det är motiverat att tills vidare avbryta vissa uppgiftsöverföringar, oavsett om skyddsnivån befunnits vara adekvat.
(24) Arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter, som inrättats med stöd av artikel 29 i direktiv 95/46/EG, har avgett yttranden om den skyddsnivå som amerikanska myndigheter har för passageraruppgifter, vilka har väglett kommissionen i förhandlingarna med DHS. Kommissionen har beaktat dessa yttranden vid utarbetandet av detta beslut.
(25) De åtgärder som fastställs i detta beslut är förenliga med yttrandet från den kommitté som inrättats i enlighet med artikel 31.1 i direktiv 95/46/EG.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
För tillämpningen av artikel 25.2 i direktiv 95/46/EG skall Förenta staternas tull- och gränsskyddsmyndighet, CBP (Bureau of Customs and Border Protection) anses säkerställa en adekvat skyddsnivå för PNR-uppgifter avseende flyg till och från Förenta staterna som överförs från gemenskapen i överensstämmelse med åtagandeförklaringen i bilagan.
Artikel 2
Detta beslut avser den skyddsnivå som CBP erbjuder i syfte att uppfylla kraven i artikel 25.1 i direktiv 95/46/EG och skall inte påverka andra villkor eller begränsningar varigenom andra bestämmelser i direktivet genomförs med avseende på behandlingen av personuppgifter i medlemsstaterna.
Artikel 3
1. Behöriga myndigheter i medlemsstaterna får, utan att det påverkar deras befogenheter att vidta åtgärder för att säkerställa efterlevnaden av nationella bestämmelser som antagits enligt andra bestämmelser än artikel 25 i direktiv 95/46/EG, utöva sina befintliga befogenheter för att tills vidare avbryta uppgiftsöverföringar till CBP i syfte att skydda enskilda med avseende på behandlingen av deras personuppgifter i följande fall:
a) om en behörig amerikansk myndighet fastställt att CBP bryter mot tillämpliga skyddsregler,
b) om sannolikheten är stor att skyddsreglerna i bilagan inte efterlevs, om det finns rimliga skäl att anta att CBP inte vidtar eller inte kommer att vidta adekvata åtgärder i tid för att lösa ärendet, om fortsatt överföring skulle innebära en överhängande risk för att de registrerade lider allvarlig skada och de behöriga myndigheterna i medlemsstaten under dessa omständigheter har vidtagit rimliga åtgärder för att underrätta CBP och gett den tillfälle att yttra sig.
2. Avbrottet skall upphöra så snart det är fastställt att skyddsreglerna följs och de behöriga myndigheterna i medlemsstaterna har underrättats om detta.
Artikel 4
1. Medlemsstaterna skall utan dröjsmål underrätta kommissionen om åtgärder som vidtagits med stöd av artikel 3.
2. Medlemsstaterna och kommissionen skall underrätta varandra om varje förändring av skyddsreglerna och om fall där de åtgärder som vidtas av organ som ansvarar för att CBP följer skyddsreglerna i bilagan inte leder till att dessa regler efterlevs.
3. Om den information som inhämtats enligt artikel 3 och punkterna 1 och 2 i denna artikel visar att nödvändiga grundprinciper för att säkerställa en adekvat skyddsnivå för fysiska personer inte längre efterlevs, eller att ett organ som ansvarar för att CBP följer skyddsreglerna i bilagan inte fullgör denna uppgift på ett verkningsfullt sätt, skall CBP underrättas om detta och vid behov skall det förfarande som anges i artikel 31.2 i direktiv 95/46/EG tillämpas i syfte att tills vidare eller slutgiltigt upphäva detta beslut.
Artikel 5
Tillämpningen av detta beslut skall övervakas och alla relevanta slutsatser skall rapporteras till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG, vilket även omfattar alla omständigheter som skulle kunna påverka konstaterandet i artikel 1 i detta beslut om att skyddet av personuppgifter i de flygpassagerares PNR som överförs till CBP är adekvat i den mening som avses i artikel 25 i direktiv 95/46/EG.
Artikel 6
Medlemsstaterna skall vidta alla erfordliga åtgärder för att följa detta beslut senast fyra månader efter det att det delgivits.
Artikel 7
Detta beslut upphör att gälla tre år och sex månader efter det att det delgivits, om det inte förlängs i enlighet med det förfarande som föreskrivs i artikel 31.2 i direktiv 95/46/EG.
Artikel 8
Detta beslut riktar sig till medlemsstaterna.
1 EGT L 281, 23.11.1995, s. 31. Direktivet senast ändrat genom förordning (EG) nr 1882/2003 (EUT L 284, 31.10.2003, s. 1).
2 Title 49, United States Code, section 44909(c)(3).
3 Title 19, Code of Federal Regulations, section 122.49b.
4 Yttrande 6/2002 om överlämnande av information ur flygbolagens passagerarlistor och övriga upplysningar till Förenta staterna, antaget av arbetsgruppen den 24 oktober 2002, finns på http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2002/wp66_sv.pdf yttrande 4/2003 om den skyddsnivå Förenta staterna erbjuder vid överföring av passageraruppgifter, antaget av arbetsgruppen den 13 juni 2003, finns på följande adress: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2003/wp78_en.pdf yttrande 2/2004 om adekvat skydd för sådana personuppgifter som ingår i flygpassagerares PNR och som skall överföras till Förenta staternas tull- och gränsskyddsmyndighet (United States' Bureau of Customs and Border Protection, US CBP), antaget av arbetsgruppen den 29 januari 2004, finns på http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2004/wp87_en.pdf
BILAGA
ÅTAGANDEFÖRKLARING FRÅN FÖRENTA STATERNAS ENHET FÖR TULL OCH GRÄNSSKYDD (CBP) INOM DEPARTMENTET FÖR HEMLANDETS SÄKERHET (DHS)
Eftersom Europeiska kommissionen (nedan kallad kommissionen) har för avsikt att utöva de befogenheter som den tilldelats genom artikel 25.6 i direktiv 95/46/EC (nedan kallat direktivet) och att anta ett beslut i vilket den konstaterar att Förenta staternas Enhet för tull och gränsskydd (Bureau of Customs and Border Protection – CBP) inom Departementet för hemlandets säkerhet (Department of Homeland Security) kan garantera adekvat dataskydd i samband med överföring av flygpassageraruppgifter – PNR (Passenger Name Record) som kan omfattas av direktivet, åtar sig CBP följande:
Rättslig behörighet att inhämta PNR-uppgifter
1. Alla lufttrafikföretag som bedriver passagerartrafik till och från Förenta staterna skall enligt gällande lag (title 49, United States Code, section 44909(c)(3)) och tillämpningsföreskrifterna (interimsbestämmelser) (title 19, Code of Federal Regulations, section 122.49b), ge CBP (tidigare amerikanska tulltjänsten, U.S. Customs Service) elektronisk tillgång till de PNR-uppgifter som finns i lufttrafikföretagens automatiska boknings- och avgångskontrollsystem (bokningssystem).
CBP:s användning av PNR-uppgifterna
2. CBP kan inhämta de flesta PNR-uppgifterna genom att undersöka den registrerades flygbiljett och andra resehandlingar inom ramen för sin normala gränskontrollbefogenhet, men möjligheten att få dessa uppgifter elektroniskt kommer i hög grad att förbättra CBP:s möjligheter att underlätta för bona fide- resenärer och på förhand genomföra en effektiv riskbedömning av passagerarna.
3. CBP använder endast PNR-uppgifterna för att förebygga och bekämpa 1) terrorism och terrorrelaterad kriminalitet, 2) andra allvarliga brott, inklusive organiserad gränsöverskridande brottslighet och 3) flykt från ett anhållnings- eller häktningsbeslut för ett av ovanstående brott. Genom att använda PNR-uppgifterna för dessa ändamål kan CBP koncentrera sina resurser till högriskområden och på så sätt främja och upprätthålla bona fide-resor.
Uppgiftskrav
4. De uppgifter som CBP kräver framgår av bihang A. (I denna åtagandeförklaring kallas dessa uppgifter hädanefter PNR-uppgifter.) Även om CBP kräver tillgång till var och en av de trettiofyra (34) posterna i bihang A, menar CBP att ett enskilt PNR-fält sällan kommer att innehålla alla dessa uppgifter. I de fall då ett PNR-fält inte innehåller alla de 34 posterna kommer CBP inte att via flygbolagets bokningssystem försöka få direkt tillgång till andra PNR-uppgifter än de som finns i förteckningen i bihang A.
5. När det gäller rubrikerna OSI och SSI/SSR (allmänt kallade allmänna kommentarer och öppna fält) kommer CBP:s elektroniska system att söka i dessa fält efter någon av de andra uppgifterna som förtecknas i bihang A. CBP:s personal är inte behörig att manuellt gå igenom alla OSI- och SSI/SSR-fälten, såvida inte CBP klassat den person som PNR-uppgifterna gäller som en högriskperson när det gäller någon av de aktiviteter som anges i punkt 3.
6. Ytterligare personuppgifter som eftersöks som en direkt följd av en genomgång av PNR-uppgifterna kommer att inhämtas från andra källor än offentliga register, endast på laglig väg, inklusive genom ömsesidigt rättsligt bistånd när detta är lämpligt, och endast för de ändamål som anges i punkt 3. Om t.ex. ett kreditkortsnummer finns i ett PNR-fält kan man söka efter uppgifter om transaktioner för detta konto, i enlighet med en laglig process som t.ex. ett föreläggande från en åtalsjury eller genom ett domstolsbeslut, eller på annat lagstadgat sätt. Dessutom kommer tillgången till register över e-postkonton som framgår av ett PNR-fält att följa de amerikanska lagarna om föreläggande, domstolsbeslut, anhållningsbeslut och andra lagstadgade förfaranden, beroende på vilken typ av information som eftersöks.
7. Om CBP konstaterat att flygbolagen lagt till ytterligare PNR-poster i sina reservationssystem vilka väsentligt skulle kunna förbättra CBP:s möjligheter att göra riskbedömning av passagerarna, kommer CBP att rådgöra med kommissionen innan man företar en eventuell revision av de obligatoriska PNR-uppgifterna (bihang A). Det samma gäller om omständigheterna visar att en PNR-post som tidigare inte var obligatorisk är nödvändig för att man skall uppfylla de målsättningar som anges i punkt 3.
8. CBP får överföra PNR-uppgifter gruppvis till myndigheten för transportsäkerhet (Transportation Security Administration – TSA) för att TSA skall kunna testa sitt datakontrollsystem CAPPS II (Computer Assisted Passenger Prescreening System II). Sådana överföringar kommer inte att utföras förrän man godkänt att PNR-uppgifter från amerikanska inrikesflyg testas. PNR-uppgifter som överförts enligt denna bestämmelse kommer endast att bevaras av TSA eller andra parter som är direkt inblandade i testerna under den tid som krävs att utföra dem. De kommer inte heller att överföras till en tredje part. Bearbetningen skall endast vara en test av CAPPS II:s system och gränssnitt och får – såvida det inte är fråga om en nödsituation där man identifierat en känd terrorist eller en individ med konstaterade kopplingar till terrorism – inte medföra några operativa konsekvenser. I överensstämmelse med kravet på elektronisk filtrering som beskrivs i punkt 10, kommer CBP att filtrera och ta bort känsliga uppgifter innan den gruppvis för över PNR-uppgifter till TSA, i enlighet med denna punkt.
Behandling av känsliga uppgifter
9. CBP kommer inte att använda känsliga uppgifter (dvs. personuppgifter som avslöjar ras eller etnisk tillhörighet, politisk, religiös eller filosofisk övertygelse, fackföreningstillhörighet eller uppgifter om den registrerades hälsa eller sexliv) från PNR-fältet som beskrivs nedan.
10. CBP kommer snarast möjligt att införa ett elektroniskt system som filtrerar och tar bort vissa känsliga PNR-koder och upplysningar som CBP har fastställt i samråd med kommissionen.
11. I väntan på att sådana elektroniska filter skall införas försäkrar CBP att man inte använder och inte kommer att använda känsliga PNR-uppgifter och att man kommer att ta bort sådana uppgifter varje gång uppgifter lämnas ut skönsmässigt i enlighet med punkterna 28–34.
Metod för att få tillgång till PNR-uppgifter
12. När det gäller de PNR-uppgifter som CBP har tillgång till (eller tar emot) direkt från flygbolagens bokningssystem för att identifiera eventuella resenärer som bör kontrolleras vid gränsen, kommer CBP:s personal bara att ha tillgång till (eller ta emot) och använda PNR-uppgifter som rör personer vars resa omfattar flygtransport till eller från Förenta staterna.
13. CBP kommer att importera passageraruppgifter från flygbolagens bokningssystem tills flygbolagen har infört ett system för att exportera uppgifterna till CBP.
14. CBP kommer att importera PNR-uppgifter som rör en viss flygning tidigast 72 timmar före avgång, och kontrollera systemet högst tre (3) gånger mellan den första importen, flygets avgång från den utländska avreseorten och flygets ankomst till Förenta staterna, eller mellan den första importen och flygets avgång från Förenta staterna, för att kartlägga eventuella ändringar i uppgifterna. Om flygbolagen får möjlighet att exportera PNR-uppgifter kommer CBP att behöva dessa uppgifter 72 timmar före flygets avgång, under förutsättning att alla ändringar i PNR-uppgifterna som görs mellan denna tidpunkt och flygets ankomst till eller avgång från Förenta staterna, också exporteras till CBP. Om CBP mot förmodan skulle få förhandsinformation om att en eller flera personer av särskilt intresse kan vara ombord på ett särskilt flyg till, från eller genom Förenta staterna, får CBP importera (eller kräva en särskild export av) PNR-uppgifter tidigare än 72 timmar före flygets avgång för att säkra att lämpliga åtgärder kan vidtas om detta är nödvändigt för att förhindra eller bekämpa ett av de brott som nämns i punkt 3. När CBP måste ha tillgång till PNR-uppgifter tidigare än 72 timmar före flygets avgång kommer CBP så långt det är möjligt att använda sedvanliga polisiära kanaler.
Lagring av PNR-uppgifter
15. Under förutsättning att Förenta staternas riksarkiv (National Archives and Records Administration [44 U.S.C. 2101, ff.]) ger sitt godkännande kommer CBP att begränsa direkttillgången till PNR-uppgifter till behöriga CBP-användare under en period om sju (7) dagar. Efter denna period kommer antalet tjänstemän som har tillgång till PNR-uppgifterna att begränsas ytterligare under en period om tre år och sex månader (3,5 år) från det datum då CBP får tillgång till (eller tar emot) uppgifterna från flygbolagens bokningssystem. Efter 3,5 år kommer alla PNR-uppgifter som inte konsulterats manuellt under denna period att förstöras. CBP kommer att överföra de PNR-uppgifter som konsulterats manuellt under den första perioden om 3,5 år till en fil med borttagna register (deleted record file) där de kommer att lagras under åtta (8) år innan de förstörs. Dessa tidsfrister kommer dock inte att tillämpas på PNR-uppgifter som är kopplade till ett särskilt register som används för polisiära ändamål (sådana uppgifter skulle förbli tillgängliga tills registret i fråga arkiveras). När det gäller de PNR-uppgifter som CBP har direkt tillgång till (eller tar emot) från flygbolagens bokningssystem under den period då denna åtagandeförklaring gäller, kommer CBP att stå fast vid de bestämmelser om lagring som fastställs i detta stycke, oavsett om förklaringen trätt ur kraft i enlighet med punkt 46 nedan.
Datasäkerhetssystem för CBP:s uppgifter
16. Behörig personal inom CBP får tillgång till PNR genom CBP:s interna intranätsystem som är krypterat hela vägen och uppkopplingen kontrolleras av tullmyndighetens datacenter (Customs Data Center). Behörig personal inom CBP har endast läsrättigheter till de PNR-uppgifter som lagras i CBP:s databas. Detta innebär att när man fått tillgång till PNR-uppgifter från flygbolagens bokningssystem kan de användas i ett annat format, men CBP kan inte ändra deras sakinnehåll.
17. Inga andra utländska, federala, statliga eller lokala organ har direkt elektronisk tillgång till PNR-uppgifter genom CBP:s databaser (inklusive genom IBIS - Interagency Border Inspection System).
18. Detaljer om tillgången till CBP:s databaser (t.ex. av vem, var, när – datum och klockslag) samt eventuella ändringar av uppgifterna) registreras automatiskt och kontrolleras rutinmässigt av CBP:s enhet för internutredning (Office of Internal Affairs) för att förhindra otillåten användning av systemet.
19. Behörighet att konsultera PNR-uppgifterna ges endast till vissa tjänstemän, anställda, eller IT-entreprenörer (som CBP övervakar) som godkänts efter en bakgrundsundersökning, som har ett aktivt, lösenordsskyddat konto i CBP:s datasystem och ett erkänt officiellt uppdrag att se över PNR-uppgifter.
20. Tjänstemän, anställda och entreprenörer inom CBP måste vartannat år genomgå utbildning i säkerhet och personuppgiftsskydd som avslutas med ett test. Målet med CBP:s revision av systemen är att övervaka och garantera att alla krav på säkerhet och skydd av personuppgifter respekteras.
21. Om obehörig personal inom CBP konsulterar flygbolagens bokningssystem eller CBP:s datoriserade system för lagring av PNR-uppgifter, kan detta medföra stränga disciplinära åtgärder (även avsked) eller straffrättsliga påföljder (böter, fängelse i upp till ett år, eller båda) (se title 18, United States Code, section 1030).
22. I CBP:s policy och bestämmelser finns också utrymme för stränga disciplinära åtgärder (t.ex. avsked) som kan vidtas gentemot varje anställd inom CBP som lämnar ut uppgifter från CBP:s datasystem utan officiell tillåtelse (title 19, Code of Federal Regulations, section 103.34).
23. Varje tjänsteman eller anställd i Förenta staternas tjänst kan bli föremål för straffrättsliga påföljder (t.ex. böter, fängelse i upp till ett år, eller båda) om han eller hon lämnat ut PNR-uppgifter som han eller hon fått tillgång till genom sitt arbete, om sådant utlämnande inte är tillåtet enligt lag (se title 18, United States Code, sections 641, 1030, 1905).
CBP:s behandling och skydd av PNR-uppgifter
24. Oavsett den registrerades nationalitet eller bosättningsland behandlar CBP alla PNR-uppgifter som känsliga ur polisiär synvinkel, som konfidentiella personuppgifter om det rör sig om en registrerad och som konfidentiella kommersiella uppgifter när det rör sig om flygbolagen, och kommer därför inte offentliggöra dessa uppgifter, om inte annat sägs i denna åtagandeförklaring eller i lag.
25. Offentliggörandet av PNR-uppgifter regleras generellt av lagen om informationsfrihet (Freedom of Information Act – FOIA) (title 5, United States Code, section 552) som ger alla personer (oavsett nationalitet eller bosättningsland) rätt att konsultera ett register som förs av en amerikansk federal myndighet, såvida inte detta register (eller del av det) skyddas mot offentliggörande genom en undantagsbestämmelse i FOIA. Undantagsbestämmelserna i FOIA gör det möjligt för ett organ att vägra offentliggöra en registeruppgift (eller en del av en registeruppgift) om den innehåller konfidentiella, kommersiella uppgifter, om offentliggörandet av uppgifterna skulle utgöra ett klart otillbörligt intrång i den enskildes personliga integritet, eller om uppgifterna har samlats in för polisiära ändamål, i den mån utlämnandet av dessa uppgifter skäligen kan antas utgöra ett otillbörligt intrång i den enskildes personliga integritet (title 5, United States Code, sections 552(b)(4), (6), (7)(C)).
26. I CBP:s bestämmelser (title 19, Code of Federal Regulations, section 103.12) som reglerar behandlingen av ansökningar om tillgång till uppgifter (t.ex. PNR-uppgifter) i enlighet med FOIA, fastställs särskilt (med undantag av vissa begränsade undantag när det gäller ansökningar från den registrerade) att FOIA:s offentlighetskrav inte skall gälla för CBP-register som innehåller följande: 1) konfidentiella, kommersiella uppgifter, 2) material som innehåller personuppgifter och vars utlämnande skulle innebära ett klart otillbörligt intrång i den enskildes personliga integritet, och 3) uppgifter som samlats in för polisiära ändamål, där utlämnandet av dessa uppgifter skäligen kan antas utgöra ett otillbörligt intrång i den enskildes personliga integritet.
27. CBP kommer, i samband med varje förvaltningsrättslig eller rättslig process som följer av en FOIA-ansökan om utlämnande av PNR-uppgifter som inhämtats från flygbolag, att hänvisa till att sådana register är undantagna från kravet på offentliggörande i enlighet med FOIA.
Överföring av PNR-uppgifter till andra statliga myndigheter
28. Med undantag av överföringar mellan CBP och TSA i enlighet med punkt 8, kommer enheter inom departementet för hemlandets säkerhet (DHS) att betraktas som externa organ, och lyda under samma regler och villkor när det gäller utväxling av PNR-uppgifter som andra statliga myndigheter utanför DHS.
29. CBP kommer enligt sina befogenheter endast att lämna ut PNR-uppgifter till andra statliga myndigheter, även utländska, som sysslar med kontraterrorism eller brottsbekämpning från fall till fall, för att förebygga och bekämpa de brott som definierades i punkt 3. (Myndigheter som CBP kan dela sådan uppgifter med skall hädanefter kallas utsedda myndigheter.)
30. CBP kommer att utöva sina befogenheter med omdöme vid överföring av PNR-uppgifter för angivna ändamål. CBP kommer först att fastställa om skälet för att lämna ut PNR-uppgifter till en annan utsedd myndighet överensstämmer med det angivna ändamålet (se punkt 29). Om så är fallet kommer CBP att fastställa om denna utsedda myndighet är kapabel att förebygga, undersöka eller beivra överträdelser av en lag eller föreskrift som gäller detta ändamål eller upprätthålla eller genomföra sådana lagar och föreskrifter, när CBP konstaterat att det föreligger eller kan föreligga en överträdelse av lagen. Fördelarna med utlämnandet måste bedömas mot bakgrund av alla de omständigheter som lagts fram.
31. För att reglera spridningen av PNR-uppgifter som kan utväxlas med andra utsedda myndigheter betraktas CBP som ägare till uppgifterna och dessa utsedda myndigheter måste uppfylla följande krav enligt de särskilda villkoren för utlämnande: 1) endast använda PNR-uppgifterna för de ändamål som fastställs i punkterna 29 eller 34, 2) se till att de PNR-uppgifter som mottagits regelbundet ordnas, i enlighet med den utsedda myndighetens förfarande för registerhållning, och 3) erhålla CBP:s uttryckliga godkännande för varje ytterligare spridning. Om dessa överföringsvillkor inte respekteras kan de utredas och rapporteras av DHS dataskyddsansvariga (Chief Privacy Officer) och detta kan medföra att den utsedda myndigheten förklaras som olämplig att motta PNR-uppgifter från CBP.
32. CBP lämnar endast ut PNR-uppgifter om det mottagande organet kommer att behandla dessa uppgifter som ur polisiär synvinkel känslig, konfidentiell, kommersiell information eller som konfidentiella personuppgifter om den registrerade (se punkterna 25 och 26), som skall behandlas som undantagna från utlämnande enligt lagen om informationsfrihet (Freedom of Information Act [5 U.S.C. 552]). Vidare kommer man att meddela det mottagande organet att det inte är tillåtet att vidareutlämna sådana uppgifter utan särskilt förhandsgodkännande från CBP. CBP kommer inte att tillåta någon vidare överföring av PNR-uppgifter för andra ändamål än dem som anges i punkterna 29, 34 och 35.
33. Personer som är anställd vid sådana utsedda myndigheter och som utan tillbörligt godkännande lämnar ut PNR-uppgifter riskerar straffrättsliga påföljder (title 18, United States Code, sections 641, 1030, 1905).
34. Denna åtagandeförklaring innehåller inga bestämmelser som hindrar användningen eller utlämnandet av PNR-uppgifter till behöriga statliga myndigheter, när detta är nödvändigt för att man skall kunna skydda intressen som är av avgörande betydelse för den registrerade eller andra personer, särskilt när det gäller allvarliga hälsorisker. Utlämnande av uppgifter av dessa anledningar kommer att omfattas av samma överföringsvillkor som fastställs i punkterna 31 och 32.
35. Denna åtagandeförklaring innehåller inga bestämmelser som hindrar användningen eller utlämnandet av PNR-uppgifter i samband med straffrättsliga förfaranden eller för att uppfylla de villkor som krävs i lag. CBP kommer att underrätta kommissionen om det i Förenta staterna antas någon lag som påverkar innehållet i denna åtagandeförklaring.
Information till de PNR-registrerade, deras tillgång till uppgifterna och möjligheter att överklaga
36. CBP kommer att upplysa resenärerna om PNR-kravet och de olika aspekterna av dess tillämpning (på CBP:s webbplats och i resebroschyrer kan man få allmän information om den myndighet som ansvarar för insamlingen av uppgifterna, syftet med insamlingen, dataskydd, uppgiftsutväxling, den ansvarige tjänstemannen, möjligheterna att överklaga samt kontaktuppgifter som kan användas om man har frågor eller särskilda problem osv.).
37. Ansökningar från de registrerade (även kallade första parts-ansökare) om att få en kopia av de PNR-uppgifter om dem som finns i CBP:s databaser behandlas enligt FOIA. Sådana ansökningar kan sändas till följande adress: Freedom of Information Act (FOIA) Request, U.S. Customs and Border Protection, 1300 Pennsylvania Avenue, N.W., Washington, D.C. 20229, (per brev). De kan också lämnas till Disclosure Law Officer, U.S. Customs and Border Protection, Headquarters, Washington, D.C. Ytterligare uppgifter om vilka förfaranden som gäller vid FOIA-ansökningar finns i U.S. Code of Federal Regulations, section 103.5 of title 19. Vid en första parts-ansökan kommer CBP inte att tillämpa FOIA-principen om att PNR-uppgifter skall betraktas som den registrerades konfidentiella personuppgifter eller som flygbolagens konfidentiella kommersiella uppgifter, för att undanhålla PNR-uppgifter från den registrerade.
38. CBP kan i undantagsfall utnyttja sina befogenheter enligt FOIA att neka eller skjuta upp utlämnandet av alla (eller troligare delar av) PNR-uppgifterna till en första parts-ansökare, i enlighet med title 5, United States Code, section 552(b) (t.ex. om utlämnande enligt FOIA rimligtvis kan antas hindra polisiära förfaranden eller om detta utlämnande skulle avslöja metoder och förfaranden som används vid polisiära undersökningar som rimligtvis skulle kunna antas göra det möjligt att kringgå lagen). Enligt FOIA har varje ansökare behörighet att genom ett förvaltningsrättsligt eller rättsligt förfarande överklaga CBP:s beslut att inte lämna ut uppgifter (se 5 U.S.C. 552(a)(4)(B); 19 CFR 103.7-103.9).
39. CBP kommer att korrigera uppgifter efter anmodan från passagerare och besättningsmedlemmar, flygbolag eller dataskyddsmyndigheter (DPA) i EU:s medlemsstater (i den mån den registrerade särskilt har godkänt detta), när dessa uppgifter finns i CBP:s databas och CBP bedömer att en korrigering är berättigad och vederbörligen styrkt. CBP kommer att underrätta varje utsedd myndighet som mottagit sådana PNR-uppgifter om varje korrigering av dessa PNR-uppgifter.
40. Ansökningar om att korrigera PNR-uppgifter som finns i CBP:s databas och klagomål från enskilda om CBP:s hantering av deras PNR-uppgifter kan antingen sändas direkt eller via behörig dataskyddsmyndighet (i den mån den registrerade gett särskild tillåtelse till detta) till Assistant Commissioner, Office of Field Operations, U.S. Bureau of Customs and Border Protection, 1300 Pennsylvania Avenue, N.W., Washington, D.C. 20229.
41. Om CBP inte kan avgöra ett klagomål kan man skriftligen vända sig till Chief Privacy Officer, Department of Homeland Security, Washington, D.C. 20528, som kommer att undersöka situationen och försöka finna en lösning.
42. Dessutom kommer DHS:s dataskyddsenhet (Privacy Office) att skyndsamt handlägga klagomål som inkommit från EU-medlemsstaternas dataskyddsmyndigheter på begäran av en person bosatt i EU, i den mån han eller hon har gett dataskyddsmyndigheten tillåtelse att agera på hans eller hennes vägnar och menar att CBP eller dataskyddsenheten inom DHS inte hanterat hans eller hennes dataskyddsklagomål när det gäller PNR på ett tillfredsställande sätt (enligt punkterna 37 till 41 i denna åtagandeförklaring). Dataskyddsenheten kommer att rapportera sina slutsatser och underrätta berörda dataskyddsmyndigheter om vilka eventuella åtgärder som bör vidtas. Den dataskyddsansvariga inom DHS kommer att i sin rapport till Kongressen ta upp antalet klagomål som gäller hanteringen av personuppgifter som t.ex. PNR, innehållet i dessa och hur de lösts.
Tillämpning
43. CBP skall, tillsammans med DHS, minst en gång om året (eller oftare om parterna är eniga om det) gemensamt med kommissionen, som eventuellt kan assisteras av företrädare för europeiska rättsliga myndigheter och/eller myndigheter från medlemsstaterna, se över genomförandet av dessa åtaganden, i syfte att gemensamt bidra till en effektiv tillämpning av de förfaranden som beskrivs i denna åtagandeförklaring.
44. CBP kommer att fastställa föreskrifter, riktlinjer och andra handlingar i vilka det som anges i denna åtagandeförklaring kommer att ingå, för att se till att tjänstemän, anställda och entreprenörer inom CBP följer dessa åtaganden. Som fastställs i denna åtagandeförklaring kan varje tjänsteman, anställd eller entreprenör inom CBP som inte följer CBP:s policy som ingår i dess föreskrifter, riktlinjer och andra handlingar drabbas av stränga disciplinära åtgärder, och eventuellt straffrättsliga påföljder.
Ömsesidighet
45. Om Europeiska unionen inför ett system för identifikation av flygpassagerare, vilket kräver att flygbolagen skall ge myndigheterna tillgång till PNR-uppgifter för personer vars resrutt omfattar en flygning till eller från Europeiska unionen, skall CBP enbart på grundval av ömsesidighet uppmana flygbolag som är etablerade i Förenta staterna att samarbeta.
Översyn och upphörande av åtagandeförklaringen
46. Dessa åtaganden skall gälla under en period om tre år och sex månader (3,5 år), från det datum då ett avtal träder i kraft mellan Förenta staterna och Europeiska gemenskapen, som tillåter att flygbolagen bearbetar PNR-uppgifter för att sedan överföra dessa uppgifter till CBP, i enlighet med direktivet. Efter det att denna åtagandeförklaring har varit i kraft under två år och sex månader (2,5 år), kommer CBP tillsammans med DHS att inleda diskussioner med kommissionen i syfte att förlänga åtagandeförklaringens och eventuella stödordningars tillämpningstid, på villkor som båda parter kan acceptera. Om man inte lyckats nå en lösning som båda parter kan acceptera innan denna förklaring träder ur kraft kommer den att upphöra att gälla.
Ingen grund för personliga rättigheter eller prejudikat
47. Denna åtagandeförklaring utgör inte grund för några fördelar eller rättigheter för privata eller offentliga personer eller parter.
48. Bestämmelserna i denna åtagandeförklaring skall inte tjäna som prejudikat för framtida diskussioner med kommissionen, Europeiska unionen eller något härtill knutet organ, eller ett tredjeland, om överföring av uppgifter.
Den 11 maj 2004
1 I denna åtagandeförklaring omfattar begreppet passagerare också besättningsmedlemmar.
2 CBP betraktas i denna bestämmelse inte som en part som är direkt involverad i utprovningen av CAPPS II och inte heller som en tredje part.
3 Om det finns känsliga uppgifter bland de PNR-uppgifter som CBP lämnar ut på ett icke-skönmässigt sätt enligt punkt 35, kommer CBP, innan man inför automatiska filter (som avses i punkt 10), att sträva efter att i så stor utsträckning som möjligt begränsa utlämnandet av känsliga PNR-uppgifter, i enlighet med Förenta staternas lagstiftning.
4 Detta omfattar transitpassagerare genom Förenta staterna.
5 Om flygbolagen accepterar att exportera PNR-uppgifterna till CBP kommer CBP att inleda diskussioner med flygbolagen om möjligheten att exportera PNR-uppgifter med jämna mellanrum mellan 72 timmar före flygets avgång från en utländsk avreseort och flygets ankomst till Förenta staterna, eller inom 72 timmar före flygets avgång från Förenta staterna. CBP försöker använda en metod som går ut på att exportera nödvändiga PNR-uppgifter som både uppfyller CBP:s behov för riskbedömning och begränsar de ekonomiska konsekvenserna för flygbolagen.
6 Dessa behöriga CBP-användare omfattar anställda som arbetar i lokalavdelningarnas analysenheter och anställda som arbetar vid National Targeting Center. Som angetts tidigare har de personer som förvaltar, utvecklar eller reviderar CBP:s databaser också tillgång till sådana uppgifter för dessa begränsade ändamål.
7 Även om PNR-uppgifterna inte har tagits bort rent tekniskt då de överförs till filen med borttagna uppgifter, lagras de som rådata (dvs. i en form som inte gör det möjligt att söka direkt och därför kan de inte användas vid traditionella brottsutredningar) och kan bara användas av behörig personal inom CBP:s enhet för internutredning (Office of Internal Affairs) (och i vissa fall tillsynsmyndigheten Office of the Inspector General i samband med revisioner). Vid behov har också personal inom CBP:s IT-enhet (Office of Information Technology) tillgång till uppgifterna.
8 Entreprenörers tillgång till PNR-uppgifter i CBP:s datasystem begränsas till de personer som har kontrakt med CBP om att delta i förvaltningen och utvecklingen av CBP:s datasystem.
9 CBP tillämpar dessa undantag på samma sätt för alla, oavsett den registrerades nationalitet eller bosättningsland.
10 CBP betonar att man inte kommer att vara behörig att korrigera uppgifterna i de PNR-register man har tillgång till via flygbolagen. I stället upprättas ett separat register kopplat till PNR-registret i syfte att klargöra att uppgifterna var felaktiga samt för att ange de korrigerade uppgifterna. CBP kommer särskilt att göra anteckningar i passagerarens andra kontrollregister (secondary examination record) om att vissa PNR-uppgifter är eller kan vara felaktiga.
11 Den dataskyddsansvariga inom DHS är oberoende av alla andra direktorat inom Departementet för hemlandets säkerhet. Hon är enligt lag skyldig att garantera att personuppgifter används på sätt som överensstämmer med relevanta lagar (se fotnot 13). Den dataskyddsansvarigas slutsatser är bindande för departementet och invändningar får inte göras mot dessa av politiska orsaker.
12 Enligt section 222 i Homeland Security Act från 2002 (Public Law 107-296 av den 25 november 2002), skall DHS:s dataskyddsansvarige genomföra en analys av konsekvenserna för skyddet av privatlivet av de regler som föreslås inom departementet när det gäller skyddet för personuppgifter, inklusive den typ av personuppgifter som samlats in och antal berörda personer och måste årligen rapportera till kongressen om den verksamhet inom departementet som påverkar skyddet av privatlivet … I section 222.5 i lagen föreskrivs också att den dataskyddsansvariga inom DHS skall höra och rapportera till kongressen när det gäller alla klagomål rörande kränkningar av den personliga integriteten.
13 Bägge parter ska på förhand underrätta varandra om vilka som ingår i respektive delegation. De kan omfatta myndigheter som sysslar med dataskydd och skydd av privatlivet, tullkontroll och andra former av polisiär verksamhet, gränssäkerhet och luftfartssäkerhet. De myndigheter som deltar ska omfattas av nödvändig säkerhetsgranskning och ha tystnadsplikt. Tystnadsplikten hindrar dock inte båda parterna från att utarbeta en rapport om resultaten av diskussionerna till deras respektive behöriga myndigheter, inklusive Förenta staternas kongress och Europaparlamentet. Deltagande myndigheter får dock under inga omständigheter lämna ut registrerades personuppgifter. De får inte heller lämna ut icke-offentlig information som hämtats från de handlingar de har tillgång till, eller någon annan operationell eller intern information de får tillgång till under den gemensamma utvärderingen. De två sidorna kommer att gemensamt fastställa detaljerna för denna gemensamma utvärdering.
BILAGA A
PNR-fält som CBP kräver från flygbolagen
1) PNR-postens lokaliseringskod
2) Bokningsdatum
3) Planerat/planerade resedatum
4) Namn
5) Andra namn i PNR-registret
6) Adress
7) Alla former av betalningsinformation
8) Faktureringsadress
9) Telefonnummer
10) Hela resrutten för aktuell PNR
11) Uppgifter om bonusprogram (endast antal miles och adresser)
12) Resebyrå
13) Resehandläggare
14) PNR-uppgifter om code share (gemensam linjebeteckning)
15) Passagerarens resestatus
16) Delade PNR-uppgifter
17) E-postadress
18) Biljettuppgifter
19) Allmänna kommentarer
20) Biljettnummer
21) Stolsnummer
22) Datum då biljetten utfärdades
23) Passagerare som tidigare inte har checkat in (no show)
24) Bagagelappsnummer
25) Passagerare som tidigare har checkat in utan bokning (go show)
26) OSI-uppgifter
27) SSI/SSR-uppgifter
28) Upplysningar om källor
29) Alla tidigare ändringar av PNR
30) Antal resande i PNR
31) Information om det säte passageraren använt
32) Enkelbiljetter
33) Eventuella APIS-uppgifter
34) ATFQ-fält