Streszczenie opinii w sprawie wniosków dotyczących decyzji Rady w sprawie zawarcia i podpisania umowy między Kanadą a Unią Europejską o przekazywaniu i przetwarzaniu danych dotyczących przelotu pasażera.

Dzienniki UE

Dz.U.UE.C.2014.51.12

Akt nienormatywny

Wersja od: 22 lutego 2014 r.

Streszczenie opinii Europejskiego Inspektora Ochrony Danych w sprawie wniosków dotyczących decyzji Rady w sprawie zawarcia i podpisania umowy między Kanadą a Unią Europejską o przekazywaniu i przetwarzaniu danych dotyczących przelotu pasażera

(Pełny tekst niniejszej opinii jest dostępny w wersji angielskiej, francuskiej i niemieckiej na stronie internetowej EIOD: http://www.edps.europa.eu)

(2014/C 51/06)

(Dz.U.UE C z dnia 22 lutego 2014 r.)

I.

 Konsultacje z EIOD

1. Dnia 19 lipca 2013 r. Komisja Europejska przyjęła wnioski dotyczące decyzji Rady w sprawie zawarcia i podpisania umowy między Kanadą a Unią Europejską o przekazywaniu i przetwarzaniu danych dotyczących przelotu pasażera ¹ (dalej określane jako "wnioski"), zawierające tekst projektu umowy między Kanadą a Unią Europejską (dalej określanej jako "umowa"). Wnioski zostały przesłane do EIOD dnia 23 lipca 2013 r.

2. EIOD miał również możliwość zgłoszenia uwag przed przyjęciem wniosków. EIOD z zadowoleniem przyjmuje fakt przeprowadzenia z nim uprzednich konsultacji. Jednak z uwagi na to, że odbyły się one po zakończeniu negocjacji, opinie EIOD nie mogły zostać uwzględnione. Niniejsza opinia opiera się na zgłoszonych wówczas uwagach.

II.

 Uwagi ogólne

3. Jak już wcześniej wspomniano ² , EIOD poddaje w wątpliwość konieczność i proporcjonalność systemów danych dotyczących przelotu pasażera (danych PNR) oraz masowego przekazywania danych PNR państwom trzecim. Spełnienia obu tych warunków wymaga Karta praw podstawowych Unii Europejskiej i europejska konwencja praw człowieka w przypadku ograniczenia praw podstawowych, w tym prawa do poszanowania życia prywatnego oraz ochrony danych osobowych ³ . Zgodnie z orzecznictwem, przedstawione przez organ publiczny uzasadnienie takiego ograniczenia musi być nie tylko istotne i wystarczające ⁴ , ale i należy wykazać, że nie ma możliwości zastosowania mniej inwazyjnych metod ⁵ . Żaden z przedstawionych dotychczas argumentów nie przekonuje EIOD o konieczności i proporcjonalności masowego i rutynowego przetwarzania danych pasażerów, wobec których nie ma żadnych podejrzeń, do celów egzekwowania prawa.

4. EIOD niemniej z zadowoleniem przyjmuje fakt zawarcia w umowie środków ochrony danych, choć ubolewa, że okres przechowywania został wydłużony w stosunku do poprzedniej umowy PNR z Kanadą.

5. EIOD z zadowoleniem odnosi się również do wysiłków podjętych przez Komisję w zakresie nadzoru i środków zaskarżenia, biorąc pod uwagę ograniczenia wynikające z charakteru umowy. Ma jednak wątpliwości dotyczące ograniczeń kontroli sądowej oraz tego, że w niektórych przypadkach administracyjne środki zaskarżenia zapewnia organ wewnętrzny, który nie jest niezależny. Kwestionuje również stosowność umowy wykonawczej w zakresie zapewnienia odpowiednich i skutecznych uprawnień osobom, których dane dotyczą.

6. Umowa reguluje korzystanie przez "kanadyjski właściwy organ" z danych PNR otrzymanych od unijnych przewoźników lotniczych i innych przewoźników obsługujących loty z UE ⁶ . EIOD rekomenduje, aby zażądać potwierdzenia, że żaden inny organ kanadyjski nie może uzyskać bezpośredniego dostępu do danych PNR ani ich żądać od przewoźników, tym samym omijając umowę.

IV.

 Wnioski

47. Jak już wspomniano, EIOD poddaje w wątpliwość konieczność i proporcjonalność systemów PNR oraz masowego przekazywania danych PNR państwom trzecim. Kwestionuje również wybór podstawy prawnej i zaleca, aby wnioski zostały oparte na art. 16 TFUE w związku z art. 218 ust. 5 i art. 218 ust. 6 lit. a) TFUE.

48. EIOD ma również obawy związane z ograniczoną dostępnością niezależnych administracyjnych środków zaskarżenia oraz sądowych środków zaskarżenia w pełnym wymiarze dla obywateli UE, którzy nie przebywają w Kanadzie, a także poddaje w wątpliwość stosowność umowy wykonawczej w zakresie zapewnienia takich uprawnień. Zaleca również, aby zażądać potwierdzenia, że żaden inny organ kanadyjski nie ma bezpośredniego dostępu do danych PNR ani nie może ich żądać od przewoźników objętych umową.

49. Jeśli chodzi o konkretne postanowienia umowy, EIOD z zadowoleniem przyjmuje przewidziane w nich środki ochrony danych. Niemniej umowa powinna:

- w całości wykluczać przetwarzanie danych szczególnie chronionych,

- przewidywać usuwanie lub anonimizację danych niezwłocznie po analizie i najpóźniej w ciągu 30 dni od otrzymania, a w każdym razie skrócić i uzasadnić proponowany okres przechowywania, który został wydłużony w porównaniu z poprzednią umową PNR z Kanadą,

- ograniczyć kategorie danych PNR podlegających przetwarzaniu,

- wyraźnie stanowić, że ogólny nadzór prowadzony będzie przez niezależny organ.

50. EIOD zaleca ponadto, aby w umowie lub w towarzyszących jej dokumentach:

- dodatkowo uściślić i wyjaśnić koncepcje określające cele umowy,

- wyjaśnić, jakie rodzaje "zgodnej z prawem" dyskryminacji byłyby możliwe,

- przewidzieć obowiązek zgłaszania naruszeń danych Komisji Europejskiej i organom ochrony danych,

- uzupełnić postanowienia dotyczące przejrzystości,

- rozszerzyć zakaz podejmowania decyzji wyłącznie na podstawie zautomatyzowanego przetwarzania danych na wszystkie decyzje dotyczące pasażerów na podstawie umowy,

- określić organy kanadyjskie, którym dane PNR mogą być w dalszej kolejności przekazywane, dodając wymóg uprzedniej zgody sądu lub istnienia bezpośredniego zagrożenia i przewidując obowiązek uwzględnienia odpowiednich gwarancji ochrony danych w umowach lub uzgodnieniach z innymi krajami lub organami otrzymującymi dane oraz ich zgłaszania Komisji Europejskiej i unijnym organom ochrony danych,

- wskazać właściwe organy i ustanowić odstraszające sankcje w przypadku naruszenia umowy,

- określić mechanizmy kontroli sądowej dostępne na mocy prawa kanadyjskiego osobom, które nie przebywają w Kandzie,

- wyjaśnić, czy prawo do kontroli sądowej może zostać wykonane, nawet jeśli dana osoba nie została powiadomiona o odnośnej decyzji lub działaniu, zwłaszcza jeśli naruszone zostały inne postanowienia umowy niż te dotyczące dostępu, poprawiania i uzupełniania,

- określić, do czego odnosi się "inny środek odwoławczy, który może obejmować rekompensatę" w art. 14 ust. 2,

- określić częstotliwość przeglądów wdrożenia umowy oraz ich zawartość (która powinna obejmować ocenę konieczności i proporcjonalności), a także wyraźnie uwzględnić unijne organy ochrony danych w składzie zespołu dokonującego przeglądu z ramienia UE.

Sporządzono w Brukseli dnia 30 września 2013 r.

	Peter HUSTINX
	Europejski Inspektor Ochrony Danych

¹ COM(2011) 529 wersja ostateczna.

² Zob. opinię EIOD z dnia 9 grudnia 2011 r. w sprawie wniosku dotyczącego decyzji Rady w sprawie zawarcia umowy pomiędzy Stanami Zjednoczonymi Ameryki a Unią Europejską o wykorzystywaniu danych dotyczących przelotu pasażera oraz przekazywaniu takich danych do Departamentu Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych (Dz.U C 35 z 9.2.2012, s. 16), opinię EIOD z dnia 15 lipca 2011 r. w sprawie wniosku dotyczącego decyzji Rady w sprawie zawarcia umowy między Unią Europejską a Australią o przetwarzaniu i przekazywaniu przez przewoźników lotniczych australijskiej służbie celnej i granicznej danych dotyczących przelotu pasażera (danych PNR) (Dz.U. C 322 z 23.12.2011, s. 1), opinię EIOD z dnia 25 marca 2011 r. w sprawie wniosku dotyczącego dyrektywy Parlamentu Europejskiego i Rady w sprawie wykorzystania danych dotyczących przelotu pasażera w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia dochodzeń w ich sprawie i ich ścigania, opinię EIOD z dnia 19 października 2010 r. w sprawie globalnego podejścia do przekazywania danych dotyczących przelotu pasażera (PNR) państwom trzecim, opinię z dnia 20 grudnia 2007 r. w sprawie projektu wniosku dotyczącego decyzji ramowej Rady w sprawie wykorzystywania danych dotyczących rezerwacji pasażera (danych PNR) w celu egzekwowania prawa (Dz.U. C 110 z 1.5.2008, s. 1), opinię z dnia 15 czerwca 2005 r. w sprawie wniosku dotyczącego decyzji Rady w sprawie zawarcia porozumienia pomiędzy Wspólnotą Europejską a Rządem Kanady w sprawie przetwarzania zaawansowanych informacji na temat pasażerów (API) oraz danych dotyczących nazwy rekordu pasażera (PNR) (Dz.U. C 218 z 6.9.2005, s. 6) (wszystkie dokumenty dostępne są na stronie http://www.edps.europa.eu/EDPSWEB/edps/cache/bypass/Consultation/OpinionsC). Zob. też opinie Grupy Roboczej Art. 29 na temat danych dotyczących przelotu pasażera, które są dostępne na stronie http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/index_en.htm#data_transfers

³ Zob. art. 7, art. 8 i art. 52 ust. 1 Karty praw podstawowych Unii Europejskiej (Dz.U. C 83 z 30.3.2010, s. 389) oraz art. 8 Konwencji o ochronie praw człowieka i podstawowych wolności Rady Europy z dnia 4 listopada 1950 r. (ETS nr 5).

⁴ Zob. wyrok Europejskiego Trybunału Praw Człowieka z dnia 4 grudnia 2008 r. w sprawie S. i Marper przeciwko Zjednoczonemu Królestwu.

⁵ Zob. wyrok Europejskiego Trybunału Praw Człowieka z dnia 9 listopada 2010 r. w sprawie C-92/09 Volker i Markus Schecke GbR przeciwko Land Hessen oraz C-93/09 Eifert przeciwko Land Hessen i Bundesansalt für Landwirtschaft und Ernährung.

⁶ Zob. uzasadnienie wniosków i art. 3 ust. 1 umowy.