Sprejeto 17. avgusta 2007

Velikost: px
Začni prikazovanje s strani:

Download "Sprejeto 17. avgusta 2007"

Transkripcija

1 Delovna skupina za varstvo podatkov iz ČLENA /07/SL WP 138 Mnenje št. 5/2007 o dopolnilnem sporazumu med Evropsko unijo in Združenimi državami Amerike o obdelavi in prenosu podatkov iz evidence podatkov o potnikih (PNR) s strani letalskih prevoznikov ministrstvu Združenih držav za domovinsko varnost (MDV), sklenjenem julija 2007 Sprejeto 17. avgusta 2007 Ta delovna skupina je bila ustanovljena v skladu s členom 29 Direktive 95/46/ES. Ta skupina je neodvisen evropski svetovalni organ za varstvo podatkov in zasebnosti. Njene naloge so opisane v členu 30 Direktive 95/46/ES in členu 15 Direktive 2002/58/ES. Naloge sekretariata opravlja Direktorat C (Civilno sodstvo, pravice in državljanstvo) Evropske komisije, Generalni direktorat za pravosodje, svobodo in varnost, B-1049 Bruselj, Belgija, št. pisarne LX-46 01/43. Spletna stran:

2 Povzetek Namen tega mnenja je analizirati vpliv na temeljne pravice in svoboščine ter še zlasti pravico potnikov do zasebnosti v okviru novega in tretjega sporazuma o prenosu podatkov iz evidence letalskih potnikov Ministrstvu Združenih držav za domovinsko varnost (MDV). Sklenitev novega dolgoročnega sporazuma zagotavlja pravno podlago za prenos podatkov o potnikih. Delovna skupina je vedno podpirala boj proti mednarodnemu terorizmu in mednarodnemu organiziranemu kriminalu, saj je po njenem mnenju to potrebno in pravno upravičeno. Vendar mora biti vsako omejevanje temeljnih pravic in svoboščin posameznikov, vključno s pravico do zasebnosti in varstva podatkov, dobro utemeljeno ter mora vzpostaviti pravo ravnovesje med zahtevami za zaščito javne varnosti in drugimi javnimi interesi, kot so pravice posameznikov do zasebnosti. Delovna skupina ni prepričana, ali sporazum uspešno vzpostavlja to pravo ravnovesje. Vprašanja, povezana z varstvom podatkov v novem sporazumu, kakor je analizirano v tem mnenju, se lahko povzamejo z naslednjima dvema ugotovitvama: 1 na splošno so zaščitni ukrepi, predvideni v prejšnjem sporazumu, preveč oslabljeni; 2 v novem sporazumu ni odgovorov na resna vprašanja in pomanjkljivosti, vsebuje pa tudi preveč izjem v primeru izrednih razmer. Kar zadeva točko 1: a Število elementov podatkov, ki se lahko prenesejo, se je povečalo in zajema podatke o tretjih osebah, ki niso posamezniki, na katere se podatki nanašajo. b MDV še naprej izvaja filtriranje občutljivih podatkov s sistemom zahtev za posredovanje podatkov (sistem push ). c MDV lahko zdaj v izjemnih primerih uporablja občutljive podatke, kar je prejšnji sporazum izključeval. d Nadaljnji prenosi domačim in tujim agencijam potekajo enostavneje ter niso več predmet istih zaščitnih ukrepov za varstvo podatkov. e Obdobje hrambe je bilo podaljšano na vsaj petnajst let, lahko pa je še daljše. f Mehanizem za skupni pregled ne omenja vključevanja neodvisnih organov za varstvo podatkov. Kar zadeva točko 2: a Zaščitni ukrepi, ki jih vsebujeta sporazum in pismo MDV, niso natančno oblikovani in predvidenih je preveč izjem, ki se lahko uporabijo po izključnem prostem preudarku organov Združenih držav. b Nameni, zaradi katerih se lahko podatki prenašajo, vključno z večjimi izjemami k tem namenom, niso dovolj podrobno navedeni in presegajo okvir, priznan z merili za varstvo podatkov. c Prehod s sistema za črpanje podatkov (sistem pull ) na sistem zahtev za posredovanje podatkov (sistem push ) je končno predviden dne 1. januarja -2-

3 2008, vendar še vedno ni jasno, če in pod kakšnimi pogoji se bo ta novi način prenosa dejansko izvajal. d Prav tako je nejasno, na kakšen način bo imelo MDV, ki bo lahko v izjemnih primerih pridobilo tiste podatke, ki niso navedeni, dostop do teh podatkov po prehodu s sistema za črpanje podatkov na sistem zahtev za posredovanje podatkov. e Še vedno ni jasno, kdaj in v kakšnih okoliščinah se bo izvedel skupni pregled. f V sporazumu ni predviden noben mehanizem za reševanje sporov, ampak je to prepuščeno pogodbenima strankama. To je še posebej pomembno za skupni pregled. g Ni jasno, kako bodo tretje agencije uredile podatke za nadaljnje prenose na druge enote. h Ni jasno, kaj pomenijo vplivi določb o vzajemnosti za raven varstva podatkov v katerem koli načinu, ki ga EU uporablja za ureditev evidence podatkov o potnikih. i Za ta sporazum obstaja tveganje, da bi lahko vsaka sprememba v zakonodaji ZDA enostransko vplivala na raven varstva podatkov, kakor je predvideno v novem sporazumu o PNR. Delovna skupina ni zadovoljna, da je bila zamujena priložnost za sprejetje bolj uravnoteženega pristopa, ki bi temeljil na dejanski potrebi. Čeprav so novi sporazum precej pojasnjevali, si delovna skupina želi, da bi bil rezultat pogajanj med EU in ZDA drugačen, meni namreč, da novi sporazum ne dosega pravega ravnovesja za zagotavljanje temeljnih pravic državljanov, kar zadeva varstvo podatkov. Ker število elementov sporazuma ni jasno, bo delovna skupina od Komisije zahtevala pisno pojasnilo, kar zadeva: obseg uporabe sporazuma: za katere letalske družbe se uporablja? Okoliščine, v katerih se lahko podatki uporabijo še za druge namene poleg tistih, omenjenih v točkah (1), (2) in (3) člena I pisma MDV. Kako bo deloval sistem za črpanje podatkov, namenjen za izjemne primere, vključno s tem, kako se bo izvajal nadzor nad temi izjemnimi pooblastili v pristojnosti EU. Zagotovila, da se rok, ki je bil zdaj določen na 1. januar 2008, ne bo znova prestavil, na primer zaradi pogajanj o zahtevah. 13 letalskih družb, ki v skladu s členom VIII pisma MDV že posredujejo podatke ter katere zahteve veljajo za te prevoznike. Kdaj in kako se bo pripravil in opravil postopek pregleda? Člen 5 novega sporazuma in člen IX pisma MDV (o vzajemnosti), ki vsebuje dvoumno izjavo glede pričakovanj ZDA. Delovna skupina tudi obžaluje, da se z njo niso posvetovali in je niso prosili za nasvet o elementih varstva podatkov sporazuma, predvsem zaradi njene vloge kot uradnega svetovalnega organa EU za varstvo podatkov ter neobstoja ustreznega okvira ali skupine za dejavnosti v okviru tretjega stebra. Delovna skupina to dejstvo obžaluje še toliko bolj, ker so njeni člani nadzorni organi, kar zadeva spoštovanje varstva podatkov s strani letalskih prevoznikov, ki bodo morali izvajati sporazum v tesnem sodelovanju z organi EU za varstvo podatkov. -3-

4 Delovna skupina si želi še naprej razvijati konstruktiven odnos s Svetom Evropske unije in Evropsko komisijo, zlasti kar zadeva izvajanje tega novega sporazuma. Delovna skupina predvsem pričakuje, da bo sodelovala pri pripravi in dejanskem izvajanju skupnega pregleda. Prav tako pričakuje, da bo sodelovala v razpravah glede opredelitve občutljivih podatkov in drugih nadaljnjih dejavnosti. -4-

5 MNENJE 5/2007 DELOVNE SKUPINE ZA VARSTVO POSAMEZNIKOV PRI OBDELAVI OSEBNIH PODATKOV o sporazumu med Evropsko unijo in Združenimi državami Amerike o obdelavi in prenosu podatkov iz evidence podatkov o potnikih (PNR) s strani letalskih prevoznikov ministrstvu Združenih držav za domovinsko varnost (MDV), sklenjenem julija 2007 I Uvod Novi sporazum Evropska unija je julija sklenila dopolnilni sporazum z Združenimi državami Amerike o prenosu in obdelavi podatkov, ki se ministrstvu Združenih držav za domovinsko varnost posredujejo iz evidence imen letalskih potnikov, ta sporazum nadomešča prejšnji začasni sporazum o PNR z Združenimi državami Amerike z dne 19. oktobra 2006, ki je prenehal veljati 31. julija Dokler sporazum ne začne veljati v državah članicah EU, se bo začasno uporabljal od datuma podpisa ter bo prenehal veljati z dnem vzajemno sklenjenega sporazuma, ki ga nadomešča, v vsakem primeru pa najpozneje sedem let po podpisu tega sporazuma. Sporazum je namenjen zagotavljanju pravne varnosti letalskim prevoznikom, ki opravljajo lete iz in v Združene države Amerike, potnikom ter organom EU za varstvo podatkov, tako da nadomešča začasni sporazum iz oktobra 2006 med Evropsko unijo in ZDA. Ta začasni sporazum je bil sklenjen, potem ko je Sodišče Evropskih skupnosti s sodbo z dne 30. maja 2006 razveljavilo Sklep Sveta 2004/496/ES z dne 17. maja 2004 (o odobritvi sporazuma s strani Evropske skupnosti o obdelavi in prenosu podatkov iz PNR s strani letalskih prevoznikov Uradu za carine in varovanje meja) ter Odločbo Komisije 2004/535/ES z dne 14. maja 2004 (t.i. odločba o ustreznosti) zaradi nepravilne pravne podlage. Novo ureditev sestavljajo naslednji elementi: sporazum, ki sta ga podpisali obe pogodbenici; pismo ministrstva Združenih držav za domovinsko varnost (pismo MDV), v katerem so zagotovila o načinu, na katerega namerava varovati podatke iz PNR; pismo z odgovorom EU, s katerim potrjuje, da je prejela zagotovila in da je na podlagi zagotovil po njenem mnenju raven varstva podatkov iz PNR v ZDA ustrezna. 1 Ta sporazum je EU podpisala 23. julija 2007, 26. julija 2007 pa so ga podpisale ZDA; na voljo je na naslovu: Ta sporazum je bil tudi objavljen v Uradnem listu z dne 4. avgusta (UL L 204, , p.18)

6 Okvir Delovna skupina potrjuje sklenitev novega dolgoročnega sporazuma, ki zagotavlja pravno podlago za prenos podatkov o potnikih. Prav tako ceni prizadevanja pogajalcev EU pri doseganju kakršnega koli sporazuma in izogibanju pravnim vrzelim navkljub nasprotovanju ZDA. Delovna skupina meni, da mora v skladu s svojo dolžnostjo izraziti stališče o vprašanjih zasebnosti, povezanih s prenosom osebnih podatkov organom ZDA, pri čemer upošteva, da se morajo potniki, oblikovalci politik in organi za varstvo podatkov zavedati trenutne ravni varstva podatkov, ki jo zagotavlja novi sporazum. Letalske družbe, za katere so nacionalni organi za varstvo podatkov nadzorni organi, podatke iz PNR najprej zberejo, nato jih posredujejo. Delovna skupina je vedno podpirala boj proti mednarodnemu terorizmu in mednarodnemu organiziranemu kriminalu. Meni, da je ta boj potreben in pravno upravičen. Priznava, da so lahko osebni podatki dragoceno orodje, a hkrati meni, da samo zbiranje in obdelava podatkov o potnikih ne moreta preprečiti tega pojava ter da je treba izkoristiti tudi vse druge razpoložljive vire za povečanje varnosti in zagotovitev varnega in učinkovitega zračnega prometa. Vsako leto milijoni potnikov preletijo Atlantik in pričakuje se, da se bo število potnikov hitro povečalo po sklenitvi sporazuma o odprtem nebu. Letalski prevozniki zbirajo in uporabljajo podatke o potnikih za lastne poslovne namene; znova je treba poudariti, da se mora v boju proti terorizmu in s tem povezanim kriminalom zagotoviti spoštovanje temeljnih pravic in svoboščin posameznikov, vključno s pravico do zasebnosti in varstva podatkov, o čemer se prav tako ni mogoče pogajati. Vsako omejevanje takih pravic in svoboščin mora biti dobro utemeljeno ter mora vzpostaviti pravo ravnovesje med zahtevami za zaščito javne varnosti in drugimi javnimi interesi, kot so pravice posameznikov do zasebnosti. Vsak neupravičen in nesorazmeren splošni nadzor, ki ga izvaja tretja država, ni združljiv s človeškim dostojanstvom in pravico do zasebnosti. V tem okviru je treba novi dolgoročni sporazum presoditi glede na temeljna načela varstva podatkov, kot so načelo sorazmernosti, načelo omejitve količine podatkov, odgovornosti nadzornika ter pravice posameznikov, na katere se podatki nanašajo, do informacij in pravnega sredstva, da se ustrezno oceni raven varstva podatkov, ki jo zagotavlja sporazum. Ocena delovne skupine iz člena 29 Namen tega mnenja delovne skupine, ki vključuje neodvisne komisarje EU za varstvo podatkov, je temeljito analizirati raven varstva podatkov v novem dolgoročnem sporazumu, tako da se njegove določbe primerjajo z določbami prejšnjih sporazumov glede na priznana merila za varstvo podatkov, kot so merila iz Direktive 95/46/ES 2 in Konvencije 108 Sveta Evrope 3, ter mnenja, ki jih je o tej zadevi že sprejela delovna 2 3 Direktiva 95/46/ES Evropskega parlamenta in Sveta z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov. Konvencija za varstvo posameznikov glede na avtomatsko obdelavo osebnih podatkov, sprejeta 28. januarja 1981 v Strasbourgu. -6-

7 skupina. Namen tega mnenja je tudi, da se potnikom, ki letijo v ali iz Združenih držav Amerike, zagotovi ocena posledic za varovanje njihove zasebnosti. Za razliko od prejšnjih sporazumov, se novi sporazum PNR ne nanaša na t.i. zaveze, ki jih je maja 2004 navajal Urad za carine in varovanje meja, tako da so zdaj neveljavne. Čeprav so bile te zaveze glede na pravno opredelitev enostranska zaveza ZDA, so bile dejansko rezultat dolgih in zapletenih pogajanj, katerih namen je bil doseči ustrezno raven varstva podatkov pri uporabi podatkov iz PNR, na čemer je temeljila t.i. odločba o ustreznosti Evropske komisije 2004/535/ES. Delovna skupina je med temi pogajanji in po teh pogajanjih sprejela številna mnenja glede ravni varstva podatkov 4. Zdaj so v novem sporazumu in še zlasti pismu MDV predvidena t.i. zagotovila, katerih namen je zagotoviti zaščitne ukrepe za varstvo podatkov pri uporabi podatkov o potnikih iz EU. Ta zagotovila tako nadomeščajo zaveze. V tem mnenju se bodo zato natančno primerjali zaščitni ukrepi iz pisma MDV z zavezami iz leta 2004 in oblikovale ugotovitve glede ravni varovanja zasebnosti. II Novi sporazum PNR 1 Področje uporabe in pravna narava V novem sporazumu je navedeno, da se uporablja za letalske družbe, ki opravljajo polete v in iz ZDA. Ni pa pojasnjeno, ali to vključuje na primer letalske družbe, ki opravljajo lete iz tretjih držav s tranzitom skozi EU. Ni jasno, kje so meje pristojnosti EU. Ali v EU poteka obdelava podatkov ali ima v EU sedež kontrolor podatkov? V sporazumu ta vprašanja niso rešena in zato delovna skupina pričakuje, da jih bo Evropska komisija pisno pojasnila. V skladu s členom 1 sta sporazum in pismo MDV zavezujoča za obe pogodbenici. Sporazum in pismo sta objavljena v Uradnem listu EU (serija L). Vendar ni jasno, ali bo pismo MDV objavljeno v Zveznem registru ZDA. Če ZDA ne bodo ravnale v skladu s sporazumom, lahko EU po členu 8 odpove sporazum. Sporazum in pismo se ne uporabljata neposredno za zasebne stranke, kot so letalske družbe ali državljani. Sporazum se v državah članicah uporablja ob upoštevanju predpisov nacionalne zakonodaje. 2 Omejitev namena Novi dolgoročni sporazum PNR je sestavljen iz številnih uvodnih izjav in devetih členov ter ureja prenos podatkov iz PNR s strani letalskih prevoznikov Ministrstvu Združenih držav za domovinsko varnost. Namen teh prenosov je opredeljen v uvodnih izjavah, in sicer preprečevanje terorizma in mednarodnega kriminala ter boj proti terorizmu in takemu kriminalu. Pismo MDV nadalje pojasnjuje namen: preprečevanje (1) terorizma in z njim povezanih kaznivih dejanj; (2) drugih hudih kaznivih dejanj, vključno z organiziranim kriminalom, ki so transnacionalne narave; (3) izogibanje sodnim nalogom ali priporu zaradi zgoraj navedenih kaznivih dejanj in boj proti vsem tem dejanjem. 4 Mnenje Delovne skupine 78 z dne 13. junija 2003, Delovne skupine 87 z dne 29. januarja 2004 in Delovne skupine 95 z dne 22. junija

8 Nameni, omenjeni v novem sporazumu, so enaki namenom iz prejšnjega začasnega sporazuma. Toda sporazum ne vsebuje opredelitev s terorizmom povezanega kriminala in hudih kaznivih dejanj, ki so transnacionalne narave, zato jih je mogoče različno razlagati. Delovna skupina kljub temu meni, da je ta omejitev namena še vedno preširoka in bi bila bolj naklonjena jasnejšim opredelitvam s terorizmom povezanega kriminala in hudih kaznivih dejanj. V skladu z pismom MDV se lahko podatki iz PNR uporabijo tudi v drugih primerih, in sicer kadar so potrebni za zaščito življenjskih interesov posameznikov, na katere se podatki nanašajo, ali drugih oseb, skladno s prejšnjimi zavezami. Podatki iz PNR se lahko uporabijo tudi v okviru kakršnih koli kazenskih postopkov, kar kaže na to, da se lahko uporabijo v primerih dejanj majhnega pomena ali prekrškov, ki niso povezani s terorizmom ali hudimi kaznivimi dejanji, ki so transnacionalne narave. Poleg tega se lahko uporabijo v vseh drugih primerih, kakor jih zahteva pravo ZDA. Raba podatkov iz PNR je bila omenjena tudi v zavezah iz leta Toda to je bilo v povezavi z nadaljnjimi prenosi. To je dobilo večji pomen v novem sporazumu, v katerega je bilo vključeno kot poseben namen in ne kot posledica nadaljnjega prenosa. Delovna skupina je zaskrbljena zaradi te spremembe v zvezi z omejitvijo namena, pri čemer je treba zlasti upoštevati, da je bila kot široka obravnavana že v okviru prejšnjega sporazuma. Delovna skupina pričakuje, da ji bo Komisija v pisnem pojasnilu podrobno navedla okoliščine, v katerih se lahko podatki uporabljajo za namene, ki se razlikujejo od namenov, navedenih zgoraj v točkah (1), (2) in (3). 3 Prejemniki podatkov o potnikih Medtem ko je bilo v uvodnih izjavah prejšnjega sporazuma našteto omejeno število enot MDV, ki so upravičene do prejemanja podatkov iz PNR, ter enot, ki niso upravičene do uporabe podatkov o potnikih (na primer Urad za državljanstvo in priseljevanje ZDA (US Citizenship and Immigration Services) in Tajna služba ZDA (US Secret Services)), ni v novem sporazumu nobene take določbe. Navedeno je le, da MDV obravnava podatke iz evidence podatkov o potnikih iz EU kot občutljive in zaupne v skladu s pravom ZDA. Tiste enote v okviru MDV, ki prej niso bile jasno opredeljene ali so bile celo izvzete od neposrednega prejemanja podatkov iz PNR, se ne obravnavajo več kot tretje agencije in zanje ne veljajo več pogoji, ki urejajo nadaljnje prenose podatkov iz PNR. Delovna skupina obžaluje, da se je število morebitnih prejemnikov močno povečalo, zdelo bi se ji tudi pomembno, da bi se za nadzorovanje toka podatkov omejilo število enot, upravičenih do uporabe podatkov iz PNR. Po njenem mnenju pomeni trenutno stanje precejšnjo oslabitev zaščitnih ukrepov iz prejšnjega sporazuma. 4 Nadaljnji prenosi Nadaljnje prenose podatkov iz PNR tretjim agencijam v okviru MDV, drugim organom ZDA in tujim vladnim organom so izključno urejale zaveze, medtem ko je prejšnji začasni sporazum ohranjal stanje prvega sporazuma PNR iz leta V zavezah je bilo predvideno, da se lahko podatki iz evidence podatkov o potnikih iz EU posredujejo drugim vladnim organom, vključno z organi tretjih držav, le glede na posamezen primer za preprečevanje terorizma in z njim povezanih kaznivih dejanj, drugih hudih kaznivih dejanj, ki so po naravi transnacionalna, vključno z organiziranim kriminalom, in za izogibanje sodnim nalogom ali priporu ter za boj proti vsem tem zgoraj -8-

9 navedenim dejanjem. V primeru nespoštovanja pogojev za prenos bi lahko vodja Službe za varstvo zasebnosti pri MDV opravil preiskavo in to nespoštovanje prijavil, organu prejemniku pa bi Urad za carine in varovanje meja lahko odvzel upravičenost do nadaljnjega prenosa podatkov iz PNR. Čeprav veljajo nekatere omejitve za razširjanje podatkov iz PNR v skladu s členom II pisma MDV, je iz dejstva, da je bil večji pomen pripisan širšim namenom, zaradi katerih se lahko izmenjujejo podatki iz PNR, razvidno, da bodo vladne agencije, ki so odgovorne za obravnavanje kazenskih zadev ter niso povezane z bojem proti terorizmu in z njim povezanimi kaznivimi dejanji, najverjetneje prav tako prejele in obdelale podatke iz PNR. Enako velja za primere, v katerih so podatki iz PNR potrebni v drugih primerih, kot jih zahteva pravo ZDA. Ni več posebne omejitve, v skladu s katero bi se lahko podatki izmenjevali le glede na posamezen primer, pri čemer se postavlja vprašanje, ali bodo v prihodnosti možni prenosi večje količine podatkov. Kar zadeva nadaljnje razširjanje podatkov iz PNR drugim agencijam s strani tretjih agencij, se je MDV obravnavalo kot lastnik podatkov v skladu s prejšnjim sporazumom, vsako tako razkritje pa je bilo dovoljeno le z izrecno predhodno odobritvijo Urada za carine in varovanje meja za nadzorovanje toka podatkov. Ker je bila ta koristna omejitev odpravljena, se pojavljajo pomisleki glede kakovosti podatkov in obdobij hrambe, brž ko tretje agencije osebne podatke posredujejo drugim prejemnikom. Ni več jasno, kdo je odgovoren za obdelavo in nadaljnje razširjanje teh podatkov. Zaščitni ukrepi za varstvo podatkov, ki jih vsebuje novi sporazum, so veliko manj strogi, s tem da, po eni strani, razširjajo seznam morebiti upravičenih agencij in, po drugi strani, olajšujejo posredovanje drugim agencijam. Kar zadeva razširjanje podatkov iz PNR organom tretjih držav, prav tako ne veljajo več prejšnji zaščitni ukrepi, s katerimi je posredovanje omejeno glede na posamezen primer. Tretje države so upravičene do izmenjave osebnih podatkov, če je raven varstva podatkov v tretjih državah domnevno primerljiva z ravnijo MDV. V tem okviru se je treba tudi vprašati, kako se nadzorujejo nadaljnji prenosi podatkov, po tem ko ima podatke v lasti tretja država. 5 Elementi podatkov Seznam elementov podatkov iz priloge A zavez ZDA iz maja 2004 je bil pregledan z novim sporazumom in je zdaj naveden v členu III pisma MDV. V prejšnjem sporazumu je bil naveden seznam 34 posameznih elementov, ki jih je treba posredovati, če jih vsebujejo rezervacijski sistemi letalskih družb. V novem sporazumu je navedenih 19 vrst informacij iz evidence podatkov o potnikih, razvrščenih po točkah, tako da se zdi, da je bil obseg podatkov, ki se prenesejo, precej zmanjšan. Dejansko v novem seznamu ni elementa Podatki o potnikih, ki letijo brez rezervacij, ki je bil zahtevan v skladu s prejšnjim sporazumom, omenjenih pa je vseh ostalih 33 elementov podatkov iz prejšnjega seznama, četudi včasih v nekoliko drugačni obliki. Poleg tega so v novem seznamu dodani tudi elementi podatkov, ki prej niso bili vključeni v seznam, s čimer se razširi obseg podatkov, ki jih zahteva MDV. To velja za številne elemente podatkov. -9-

10 a Element podatkov 5 (dostopne informacije v zvezi s programi zvestobe in informacije o ugodnostih): Medtem ko so bile v prejšnjem sporazumu informacije v zvezi s programi zvestobe omejene na preletene milje in naslov(e), so v novem sporazumu dodane podrobnosti, kot so število potnikov v okviru programa zvestobe, brezplačne vozovnice itd., ki jih je treba prav tako posredovati. Prejšnji sporazum ni zahteval nobenih informacij o ugodnostih. b Element podatkov 7 (vse dostopne kontaktne informacije): Čeprav so v tem elementu podatkov združeni prejšnji elementi podatkov: naslov (6), naslov uporabnika računa (8), kontaktne telefonske številke (9) in elektronski naslov (17) ni izključeno, da bodo zagotovljeni tudi dodatni podatki, na primer elektronski naslov delodajalca. c Element podatkov 15 (vse informacije o prtljagi): Medtem ko so bili v prejšnjem sporazumu zahtevani podatki o številki posameznih kosov prtljage, je treba odslej razkriti vse dodatne podrobnosti v zvezi s potnikovo prtljago, kot sta število ali velikost prtljage (kosovna prtljaga), s čimer je spet razširjen obseg prejšnjega sporazuma. Čeprav je delovna skupina dejavno zagovarjala zmanjšanje elementov podatkov, ki se štejejo kot primerni v boju proti terorizmu in z njim povezanimi kaznivimi dejanji 5, je v novem sporazumu seznam elementov podatkov razširjen z zahtevami po dodatnih podatkih o posameznikih, na katere se podatki nanašajo. To nikakor ni upravičeno in se mora obravnavati kot nesorazmerno. Osebni podatki tretjih oseb Omeniti je treba tudi, da bi v okviru prejšnjega sporazuma MDV lahko zahtevalo podatke, ki niso povezani s posamezniki, na katere se podatki nanašajo, ampak s tretjimi osebami, na primer v primeru naslova uporabnika računa, elektronskega naslova, potovalnega agenta, prejetih iz podatkov itd. Novi sporazum ne zahteva le več podrobnosti o potniku, ampak tudi o tretjih osebah, na primer pri poizvedovanju glede informacij o ugodnostih v rezervacijskih sistemih letalskih družb. Delovna skupina je zaskrbljena zaradi tega razvoja, ker se tretja oseba najverjetneje ne zaveda posredovanja svojih osebnih podatkov MDV, kaj šele svojih pravic do varstva podatkov v takem primeru. Zato tretja oseba ne more uveljavljati svojih pravic, ki jih imajo posamezniki, na katere se podatki nanašajo, v skladu s sporazumom. Dodatni podatki Nadalje je treba opozoriti, da lahko MDV v skladu s tretjim odstavkom člena III pisma MDV v izjemnih primerih uporabi dodatne elemente podatkov, poleg tistih, ki so navedeni na seznamu, ampak jih prav tako vsebujejo rezervacijski sistemi letalskih družb, s čimer se precej razširi obseg elementov podatkov. Delovna skupina vztraja, da obstajajo druge pravne poti, razvite v okviru tretjega stebra 6, za dostop do osebnih podatkov v takih izjemnih primerih brez ogrožanja zasebnosti potnikov. Delovna skupina je tudi zaskrbljena glede izjave, da bo MDV načeloma v 48 urah obvestilo Evropsko komisijo, če bo uporabilo take podatke. Iz tega sledi, da se lahko MDV po prostem preudarku odloči, kdaj in ali sploh obvestiti Komisijo o tej zadevi. 5 6 Delovna skupina 78: Mnenje 4/2003 o ravni varstva, zagotovljeni v Združenih državah za prenos podatkov o potnikih z dne 13. junija Sporazum o izročitvi med EU in ZDA ter Sporazum o medsebojni pravni pomoči med EU in ZDA, oba sta bila podpisana 25. junija

11 Kako bo MDV pridobivalo take dodatne elemente podatkov, ki jih vsebujejo rezervacijski sistemi letalskih družb, se bo pokazalo, ko se bo način prenosa spremenil s sistema za črpanje podatkov na sistem zahtev za posredovanje podatkov. Natančna ureditev z novim sporazumom PNR ni urejena; zdi se tudi, da se bo v primeru učinkovitega sistema zahtev za posredovanje podatkov še naprej ohranil sistem za črpanje podatkov v takih izjemnih okoliščinah. Zato delovna skupina pričakuje, da ji bo Komisija v pisnem pojasnilu navedla, kako bo deloval ta sistem za črpanje podatkov, namenjen za izjemne primere, vključno s tem, kako se bo izvajal nadzor nad temi izjemnimi pooblastili v pristojnosti EU. 6 Analitične informacije V členu IX pisma MDV je navedeno, da bo MDV spodbujalo prenos analitičnih informacij, ki izhajajo iz podatkov iz PNR, s strani pristojnih organov ZDA policijskim in pravosodnim organom držav članic ter po potrebi Europolu in Eurojustu. Ni jasno, kaj bodo obsegale te analitične informacije in ali bodo vsebovale osebne podatke 7. V členu IX so tudi navedena pričakovanja MDV, da bodo EU in njene države članice svoje pristojne organe spodbujale, da si analitične informacije iz podatkov iz PNR vzajemno izmenjujejo ter jih zagotavljajo MDV in drugim zadevnim organom ZDA. Tak prenos podatkov Združenim državam v novem sporazumu ni zajet, saj je sporazum omejen na prenos podatkov iz PNR, ki jih vsebujejo rezervacijski sistemi letalskih družb. Analitične informacije niso del seznama iz člena III pisma MDV, v katerem so izčrpno našteti vsi elementi podatkov, ki se lahko prenesejo. Neposredna izmenjava analitičnih informacij z drugimi agencijami ZDA bi glede na naravo analitičnih informacij precej razširila obseg seznama z elementi podatkov, zaradi česar bi postal njegov izčrpen seznam neuporaben. Izmenjavo takih informacij morajo obravnavati drugi pravni instrumenti, trenutno pa ni zajeta v sporazum. Zato je delovni skupini jasno, da nima to pričakovanje, kakor je omenjeno v pismu MDV, nobene pravne podlage, pod vprašaj je postavljena tudi njegova pravna vrednost. 7 Način prenosa podatkov iz PNR Kakor v prejšnjem sporazumu je predvideno, da se na sistem zahtev za posredovanje podatkov iz PNR preide na poznejši stopnji, toda le za tiste letalske prevoznike, ki bodo ustrezali tehničnim zahtevam MDV. V nasprotnem primeru bodo organi ZDA še naprej uporabljali sistem za črpanje podatkov iz PNR. Evropski letalski prevozniki so v preteklosti ogromno vlagali v sistem zahtev za posredovanje podatkov in potrjujejo, da je tak sistem trenutno tehnično izvedljiv. Prizadevali so si izpolniti prvotni rok, in sicer konec decembra 2006, ki je bil določen z zavezami iz leta Na tej stopnji je treba znova poudariti, da je z vidika varstva podatkov sistem zahtev za posredovanje podatkov edini sprejemljivi način za prenos osebnih podatkov, ob vsaki dodatni zamudi pa se postavlja vprašanje, ali namerava MDV resnično spremeniti sedanjo prakso. Delovna skupina s sklicevanjem na svoja že objavljena mnenja z veliko zaskrbljenostjo ugotavlja, da se izvajanje sistema zahtev za posredovanje podatkov od podpisa prvega sporazuma PNR maja 2004 ni začelo v predvidenem roku. Delovna skupina pričakuje, da bo Evropska komisija zagotovila, da se 7 Delovna skupina 136 Mnenje 4/2007 o pojmu osebnih podatkov z dne 20. junija

12 rok, ki je bil zdaj določen na 1. januar 2008, ne bo znova prestavil, na primer zaradi pogajanj o zahtevah. Prav tako pričakuje, da ji bo Komisija pojasnila, katerih 13 letalskih družb v skladu s členom VIII pisma MDV že posreduje podatke ter katere zahteve veljajo za te prevoznike. Zaskrbljujoče je zvedeti, da je prehod na delujoč sistem zahtev za posredovanje podatkov enostransko odvisen od prostega preudarka MDV ter da v novem sporazumu nista predvidena niti medsebojno dogovorjen način za hitro izvajanje sistema zahtev za posredovanje podatkov niti mehanizem za reševanje nerešenih problemov. Ker na letalske prevoznike neposredno vplivajo tehnične specifikacije o tem, kako naj bi prenesli podatke iz PNR, je treba prisluhniti tudi njihovemu mnenju, na njihove pomisleke pa se morata odzvati obe pogodbeni stranki. Če se eni stranki dovoli, da lahko enostransko odloča o tem, katere tehnične zahteve so potrebne za spremembo s sistema za črpanje podatkov na sistem zahtev za posredovanje podatkov, je s tem ogrožen morebitni prehod na sistem zahtev za posredovanje podatkov. Kar zadeva število posredovanj, se spremno pismo nanaša le na posodobitve, za katere se šteje, da so potrebne, ne da bi navedlo, kako pogosto se od letalskih prevoznikov zahteva, da posredujejo podatke po začetni zahtevi za posredovanje 72 ur pred odhodom. Delovna skupina meni, da ta odločitev ne bi smela biti sprejeta po prostem preudarku MDV, saj morajo biti posodobitve sorazmerne, tako da se za potnike upoštevajo posledice za varovanje zasebnosti in za letalske prevoznike finančni vidiki. Treba je najti obojestransko sprejemljivo rešitev, saj je to bolj zaželeno od enostranske rešitve. Poleg tega niti sporazum niti pismo MDV ne zagotavljata nobenega sklicevanja na omejitev zahtev za posredovanje v prej kot 72 urah. 8 Občutljivi podatki in filtriranje Z vprašanjem, kako prenašati podatke iz PNR, je tesno povezano filtriranje podatkov o potnikih (člen III pisma MDV). Eno od glavnih načel varstva podatkov je odgovornost upravljavca za obdelavo osebnih podatkov, kakor je poudarjeno v Direktivi 95/46/ES (člen 2 d) v povezavi s členom 6(2), v kateri je navedeno, da se oseba ali institucija, ki določa namene in sredstva obdelave, šteje kot upravljavec in je zato odgovoren za podatke. Podobne določbe se najdejo v členu 2(d) in členu 5 Konvencije 108. V primeru osebnih podatkov so letalske družbe tiste, ki zbirajo in obdelujejo podatke za lastne poslovne namene. Zato bi morale te družbe same določiti, da se MDV posredujejo le tisti podatki, ki so navedeni v sporazumu in pismu MDV. Seznam podatkov iz PNR, ki jih je treba posredovati, kakor je navedeno v členu III dopisa MDV, ne vključuje nobenih občutljivih podatkov. Vendar se občutljivi podatki lahko vključijo v podatkovni polji, navedeni pod točko 17 Splošne opombe, vključno z informacijami OSI, SSI in SSR in točko 19 Vse pretekle spremembe v PNR. Ker občutljivi podatki niso del seznama elementov podatkov, ki se lahko prenesejo, se MDV obveže, da jih bo filtriralo. Za filtriranje vseh podatkov pred posredovanjem v sistem zahtev za posredovanje podatkov mora biti odgovoren upravljavec, da se prepreči prenos podatkov, ki niso zajeti v sporazum, vključno z občutljivimi podatki. Po mnenju delovne skupine je v nasprotju z načeli varstva podatkov, da so z novim sporazumom upravljavci oproščeni te odgovornosti, pri čemer je filtriranje nekaterih podatkov prepuščeno MDV. To je še pomembnejše za občutljive podatke, ki bodo izključeni iz obdelave. Toda v skladu z novim sporazumom lahko MDV celo uporabi razpoložljive občutljive podatke, če potrebuje te informacije v izjemnih okoliščinah. -12-

13 Čeprav se MDV zavezuje, da bo vodilo evidenco dostopov do vseh občutljivih podatkov in bo podatke izbrisalo v roku 30 dni potem, ko jih ne bo treba več hraniti, ostajajo odprta vprašanja glede nadzorovanja uporabe in toka podatkov, brž ko je MDV razširjalo občutljive podatke drugim domačim ali tujim agencijam in MDV ni več lastnik takih podatkov. Treba je tudi opozoriti, da bo občutljive podatke, kakor so določeni v Konvenciji 108 ali Direktivi, opredelilo MDV v posvetovanju z Evropsko komisijo. Ker se lahko pojmovanje in pomembnost občutljivih podatkov sčasoma spreminja, je treba stalno opredeljevati nove ustrezne občutljive podatke ter jih redno pregledovati v tesnem sodelovanju z organi za varstvo podatkov in letalsko industrijo, da se vzdržuje posodobljen seznam. Te zadeve novi sporazum ne obravnava. Delovna skupina pričakuje, da bo vključena v vsa pogajanja, ki zadevajo opredelitev občutljivih podatkov. 9 Hramba podatkov Novi sporazum ne vsebuje določbe, ki bi urejala obdobje hrambe podatkov iz PNR, ki jih hrani MDV. Toda sistem hrambe podatkov ureja člen VII pisma MDV, ki ločuje aktivno analitično podatkovno bazo, v kateri se podatki hranijo sedem let, s čimer je prejšnje obdobje hrambe podvojeno, ter mirujoče, neoperativno stanje, v katerem se hranijo dodatnih osem let. V zavezah iz leta 2004 je bilo podrobno navedeno, da naj bi bili podatki preneseni v datoteko izbrisanih evidenc za osem let, vendar se je to uporabilo le pri zelo omejeni količini podatkov, ki so bili ročno pregledani v začetnem obdobju treh let in šest mesecev. Z vidika varstva podatkov ni nobene razlike med aktivnim in t.i. mirujočim stanjem obdobja za dostop. Dokler so osebni podatki dostopni, četudi v zelo omejenih primerih med mirujočim stanjem, so na voljo v podatkovni bazi, MDV pa lahko dostopa do njih in jih obdeluje. Iz tega razloga je bilo obdobje hrambe dejansko podaljšano s treh let in šestih mesecev na petnajst let. Tega obdobja se vseeno ne more obravnavati kot dokončnega, saj je v pismu MDV še navedeno, da MDV pričakuje, da bodo podatki iz PNR izbrisani po izteku tega obdobja ter da bosta vprašanji morebitnega uničenja zbranih podatkov iz PNR in trenutka uničenja obravnavani v okviru prihodnjih razprav, iz česar je razvidno, da se lahko obdobje hrambe še nadalje podaljša, kar je zelo zaskrbljujoče in ni združljivo s priznanimi standardi zasebnosti, kot sta člen 5(e) Konvencije 108 in člen 6(e) Direktive. Delovna skupina je že presodila, da je obdobje hrambe treh let in šestih mesecev nesorazmerno glede na namene, zaradi katerih se hranijo podatki o potnikih. Zagotovljen ni bil noben operativni dokaz, da je bilo veljavno obdobje potrebno (kakor zahteva člen 8 Evropske konvencije o človekovih pravicah) ali da je bilo prekratko. V pismu MDV je nadalje poudarjeno, da je treba evidence podatkov o potnikih, zbrane v okviru prejšnjega sporazuma, sedaj hraniti v enakem dolgoročnem obdobju kot podatke, zbrane v okviru novega sporazuma. To je v nasprotju z zavezami ZDA, sprejetimi maja 2004, v katerih je bilo predvideno splošno, medsebojno dogovorjeno obdobje hrambe, in sicer tri leta in šest mesecev. MDV je enostransko podaljšalo obdobje hrambe tistih evidenc podatkov o potnikih, zbranih v okviru prvega sporazuma PNR (od 28. maja 2004 do oktobra 2006). Vsi podatki, preneseni MDV v tem obdobju, so bili posredovani s pogojem, da bodo uničeni po treh letih in šestih mesecih, razen če so bili ročno -13-

14 pregledani. Pismo MDV zdaj zavrača to načelo, enostransko podaljšanje obdobja, ki ga je brez prepričljivega dokaza izvedlo MDV, ni sprejemljivo. 10 Skupni pregled V skladu s členom 4 novega sporazuma in členom X pisma MDV bosta pogodbeni stranki redno preverjali izvajanje sporazuma, pisma MDV ter politik in praks ZDA in EU v zvezi s PNR z namenom skupnega zagotavljanja učinkovitega delovanja in varstva zasebnosti njunega sistema. Poleg tega pismo MDV navaja, da se bodo med pregledom proučili tudi vsi primeri, v katerih se je dostopilo do občutljivih podatkov. Skupino za pregled bodo sestavljali sekretar za domovinsko varnost ter komisar za pravosodje, svobodo in varnost ali kakšen drug vzajemno sprejemljiv uradnik, o katerem se obe strani sporazumeta. EU in MDV bosta skupaj določila podrobnosti načina izvajanja pregledov. V primerjavi z določbami zavez so merila za varstvo podatkov, povezana z neodvisnim pregledovanjem, precej slabša. Najprej, v zavezah je bil predviden skupni pregled, ki se je opravil na redni letni osnovi ali pogosteje, če sta se o tem sporazumeli pogodbenici. V okviru novega sporazuma ni jasno, kako pogosto se bo izvajal predvideni pregled in ali se bo sploh izvajal. V pismu MDV ni določen konkretni datum za pregled, niti ni navedeno, kdaj naj bi začeli s pripravami za pregled. Nato, v pismu MDV ni več omenjeno, da morajo pogodbenima strankama pri postopku pregleda pomagati neodvisni predstavniki evropskih organov kazenskega pregona in/ali organi držav članic. Neodvisno izvedensko mnenje in pregledovanje varstva podatkov sta eden od poglavitnih stebrov učinkovitega varstva zasebnosti, ki zagotavljata, da se pomanjkljivosti pravilno obravnavajo in da se prisluhne pomislekom posameznikov, na katere se podatki nanašajo. Ker je bil v okviru prvega sporazuma PNR izvršen en pregled, ki sta ga skupno organizirali pogodbeni stranki, ki sta vključevali neodvisne organe za varstvo podatkov, in ga je mogoče obravnavati kot uspešnega, delovna skupina znova poudarja, kakšen pomen ima polna udeležba organov za varstvo podatkov pri vsakem prihodnjem pregledu. Vsako pomanjkanje neodvisne udeležbe potencialno oslabi zaščitne ukrepe za varstvo podatkov za potnike. Zato delovna skupina predvsem pričakuje, da bo sodelovala pri pripravi ter dejanskem izvajanju skupnega pregleda. Pričakuje, da bo Komisija čim prej pisno pojasnila, kdaj in kako se bo postopek pregleda pripravil in izvajal. Nadaljnji problem izhaja iz dejstva, da bo pregled izvršen le, če se obe pogodbenici skupaj sporazumeta o podrobnostih pregleda. Torej, če se pogodbenici ne moreta sporazumeti ali če ena pogodbenica enostransko ovira pregled, se slednji sploh ne bo izvršil, kar dejansko pomeni, da se odprtih vprašanj ne bo pravočasno obravnavalo. Novi sporazum ne predvideva mehanizma za reševanje takih neskladij in daje pravico do prostega preudarka vsaki pogodbenici, s čimer vsaka vpliva na podrobnosti pregleda in ga oblikuje v skladu s svojimi nameni. Delovna skupina pričakuje, da bo Komisija prav tako pojasnila to vprašanje tudi ob upoštevanju dejstva, da se v okviru začasnega sporazuma PNR ni izvršil noben skupni pregled, ker se pogodbeni stranki nista mogli dogovoriti o podrobnostih takega postopka. -14-

15 11 Pravice posameznikov, na katere se podatki nanašajo, vključno s pravnimi sredstvi Zaščitni ukrepi za varstvo podatkov v zvezi s prenosom in obdelavo podatkov iz PNR s strani organov ZDA niso del sporazuma samega, ampak jih vsebuje spremno pismo MDV, v katerem so pojasnjena zagotovila, ki jih hoče MDV dati potnikom. Čeprav se šteje, da sta sporazum in pismo MDV pravno zavezujoča, številne podrobnosti v pismu niso natančno določene, kakor je pojasnjeno v tem mnenju, in pri izvrševanju zagotovil je veliko vprašanj prepuščenih prostem preudarku, na primer prehod s sistema za črpanje podatkov na sistem zahtev za posredovanje podatkov in petnajstletno obdobje hrambe. Pojavlja se vprašanje, kako so lahko zagotovila iz pisma MDV pravno izvršljiva, če ostaja odprtih toliko podrobnosti. Zato delovna skupina meni, da so zakonski zaščitni ukrepi, navedeni v pismu MDV, precej slabši kot v okviru prejšnjega sporazuma. Čeprav se člen V pisma MDV nanaša na ukrepe pravnega varstva, ki so na voljo potnikom, ni jasno, ali bo pismo MDV objavljeno v Zveznem registru in bo tako lahko postalo pravna podlaga za pravno varstvo pravic do varstva podatkov v ZDA. Zato delovna skupina poziva Evropsko komisijo, naj spodbuja objavo pisma v Zveznem registru. Delovna skupina MDV pozitivno ocenjuje dejstvo, da se je MDV odločilo za politiko razširitve upravnega varstva po Zakonu o zasebnosti na potnike, ki niso državljani ZDA in ki v ZDA ne prebivajo zakonito. Tako osebe, ki niso državljani ZDA, niso več diskriminirane, kar kaže univerzalno pravico do varstva podatkov. To je pozitiven korak, a še vedno je treba opraviti mnogo dela za zagotovitev, da se lahko te pravice uresničijo v praksi, pri tem pa imajo pomembno vlogo nacionalni organi za varstvo podatkov. Delovna skupina prav tako v veseljem ugotavlja, da bodo ZDA skupaj z EU sodelovale v smeri spodbujanja večje razpoznavnosti obvestil, ki z namenom seznanitve potnikov opisujejo sisteme PNR, ter spodbuja letalske prevoznike, da v uradne pogodbe o prevozu vključijo ta obvestila. Ta določba novega sporazuma bo nedvomno povečala preglednost ter hkrati seznanila čezatlantske potnike o obstoječih pravicah in pravnih sredstvih. Delovna skupina, ki zastopa nacionalne organe za varstvo podatkov, je prispevala k temu, da se pripravijo osnutki in da se sedanja obvestila, ki jih uporabljajo letalske družbe, dajo na razpolago potnikom ter pričakuje, da bo to pomembno delo opravljala tudi v prihodnosti. 12 Vpliv sporazuma na kateri koli način, ki ga EU uporablja za ureditev evidence podatkov o potnikih Člen 5 novega sporazuma in člen IX pisma MDV (o vzajemnosti) vsebujeta dvoumno izjavo glede pričakovanj ZDA o ukrepih za varstvo podatkov, ki se uporabljajo v ZDA ali vsak prihodnji način, ki ga EU uporablja za ureditev evidence podatkov o potnikih. To na prvi pogled pomeni, da ZDA ne pričakujejo, da bodo v prihodnjih načinih, ki jih bo EU uporabljala za ureditev evidence podatkov o potnikih, merila nižja od tistih v novem sporazumu, hkrati pa se to lahko tudi razlaga kot zahteva MDV, naj EU ne uvede višjih meril za varstvo podatkov v način za ureditev evidence podatkov o potnikih, saj bo sicer odpovedalo sporazum. Tak razvoj bi bil zelo zaskrbljujoč in bi lahko vplival na prizadevanja EU za zagotovitev visoke ravni varstva podatkov v katerem koli prihodnjem načinu, ki ga EU uporablja za ureditev evidence podatkov o potnikih. Pomembno je, da Evropska komisija zagotovi pisna pojasnila o pravem pomenu te točke. -15-

16 Treba je tudi opozoriti, da člen o vzajemnosti ni uravnotežen, saj so Združene države samo obvezane aktivno spodbujati sodelovanje letalskih družb ZDA, Evropska unija pa mora tako skladnost zagotoviti. III Sklepna ugotovitev Delovna skupina potrjuje, da je bil sklenjen nov dolgoročni sporazum PNR z Združenimi državami Amerike o prenosu podatkov iz PNR Ministrstvu za domovinsko varnost. Delovni skupini se je zdelo izjemno pomembno, da je tak sporazum na voljo, saj se s tem odpravijo pravne negotovosti za države članice, letalske potnike in letalske prevoznike. Delovna skupina pozitivno ocenjuje dejstvo, da bo MDV povečalo preglednost obdelave podatkov, tako da bo potnikom dalo na razpolago obvestila. Delovna skupina opozarja, da je se v preteklosti o tej zadevi posvetovala z vodjo Službe za varstvo zasebnosti pri MDV ter je posledično sprejela dve mnenji 8, s čimer je letalskim prevoznikom zagotovila navodila in ozaveščala potnike. Delovna skupina tudi z veseljem sprejema dejstvo, da se je MDV odločilo za politiko razširitve varstva zasebnosti na osebe, ki niso državljani ZDA in ki jih prejšnji sporazum PNR ni zajemal. Toda obžaluje, da so te manjše izboljšave precej neuravnotežene v primerjavi s splošnim znižanjem ravni varstva podatkov. Zagotovila, zapisana v pismu MDV, so precej manjša kot tista iz zavez. Poleg tega obžaluje, da je EU presodila, da je sporazum ustrezen glede zaščitnih ukrepov za varstvo podatkov, ne da bi se posvetovala s katerim koli uveljavljenim organom za varstvo podatkov, kljub dejstvu, da bodo morale sporazum izvajati države članice v tesnem sodelovanju z nacionalnimi nadzornimi organi. Delovna skupina meni, da so nameni, zaradi katerih se prenašajo podatki o potnikih, preveč široki, ter obžaluje, da nameni presegajo okvir, priznan z merili za varstvo podatkov, in da večje izjeme k tem namenom niso dovolj podrobno navedene. Delovna skupina je zaskrbljena zaradi dejstva, da se je število morebitnih sprejemnih organov znotraj MDV očitno precej povečalo ter da ni jasnega seznama vseh tistih subjektov znotraj MDV, ki so upravičeni do dostopa do podatkov iz PNR. Kar zadeva način prenosa podatkov iz PNR, delovna skupina z veliko zaskrbljenostjo ugotavlja, da se izvajanje sistema zahtev za posredovanje podatkov od podpisa prvega sporazuma PNR maja 2004 ni začelo po predvidevanjih ter da se začetka izvajanja ne sme znova prestaviti. Delovna skupina se ne strinja z določbo v novem sporazumu, da se prehod s sistema za črpanje podatkov na sistem zahtev za posredovanje podatkov lahko izvaja le po prostem preudarku MDV, ne da bi se pri tem upoštevale zakonite pravice zadevnih letalskih prevoznikov. To velja tudi za število posredovanj, ki je prepuščeno prostemu preudarku MDV. Treba je najti rešitev za boljše varovanje zasebnosti na medsebojno sprejemljiv in gospodarsko izvedljivo način, ki ne diskriminira drugih, še zlasti letalskih družb iz EU. 8 Delovna skupina 97 Mnenje 8/2004 o informacijah za potnike glede prenosa podatkov iz PNR na letih med Evropsko unijo in Združenimi državami Amerike z dne 30. septembra 2004, ter delovna skupina 132 Mnenje2/2007 o informacijah za potnike glede prenosa podatkov iz PNR organom ZDA z dne 15. februarja 2007 in Kratko obvestilo za potovanja med Evropsko unijo in Združenimi državami Amerike. -16-

17 Ker se je obdobje hrambe znatno podaljšalo in se je seznam elementov podatkov razširil, so postali zaščitni ukrepi, navedeni v prejšnjih zavezah, prav tako slabši. Dejstvo, da filtriranje občutljivih podatkov še vedno izvaja MDV in da lahko MDV uporablja občutljive podatke v izjemnih primerih, ni skladno s sprejetimi merili za varstvo podatkov, kot so merila iz Konvencije 108 in Direktive. Delovna skupina poudarja potrebo, da morajo biti organi za varstvo podatkov polno udeleženi pri vsakem neodvisnem pregledu, in sicer pri njegovi pripravi in izvajanju. Evropska komisija mora pojasniti, kdaj in kako se bo postopek pregleda pripravil in izvajal. Za prenos analitičnih informacij ni nobene pravne podlage; pravna vrednost pričakovanj MDV v zvezi s tem je vprašljiva. Delovna skupina ni spregledala dejstva, da vsebuje novi sporazum PNR nekaj manjših izboljšav v primerjavi s prejšnjim sporazumom, a je očitno razočarana nad neustreznimi merili za varstvo podatkov v novem sporazumu PNR. Raven varstva zasebnosti iz prejšnjega sporazuma, za katero je delovna skupina v prejšnjih mnenjih že menila, da je slaba, se v novem sporazumu celo ni ohranila. Novega sporazuma PNR, kakor je analiziran v tem mnenju, ni mogoče ugodno primerjati s sprejetimi merili za varstvo podatkov, kakor so merila iz Konvencije 108 in Direktive. Vsem čezatlantskim potnikom, ki so zaskrbljeni zaradi pravic do zasebnosti, bo povzročil razumljive skrbi. V Bruslju, 17. avgusta 2007 Za delovno skupino Predsednik Peter SCHAAR -17-