L_2004235HU.01001101.xml

A BIZOTTSÁG HATÁROZATA

(2004. május 14.)

az Egyesült Államok Vámügyi és Határvédelmi Irodája rendelkezésére bocsátott, a légiutasok utasnyilvántartási adatállományában tárolt személyes adatok megfelelő védelméről

(Az értesítés a B(2004) 1914., számú dokumentummal történt)

(EGT vonatkozású szöveg)

(2004/535/EK)

AZ EURÓPAI KÖZÖSSÉGEK BIZOTTSÁGA,

tekintettel az Európai Közösséget létrehozó szerződésre,

tekintettel a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre (1) és különösen annak 25. cikke (6) bekezdésére,

mivel:

(1)

A 95/46/EK irányelv értelmében a tagállamoknak rendelkezniük kell arról, hogy a személyes adatok csak akkor továbbíthatók harmadik országba, ha az adott harmadik ország megfelelő védelmi szintet tud biztosítani, és csak akkor, amennyiben az ezen irányelv egyéb rendelkezéseit végrehajtó tagállami jogszabályok már az adattovábbítás előtt megfelelnek az irányelvnek.

(2)	A Bizottság megállapíthatja, hogy egy harmadik ország megfelelő védelmi szintet biztosít. Ebben az esetben a személyes adatokat a tagállamoktól továbbítani lehet anélkül, hogy további garanciákra lenne szükség.

(3)

A 95/46/EK irányelv értelmében az adatvédelem szintjét az adattovábbítási művelet vagy adattovábbítási műveletsorozat feltételeinek figyelembevételével kell értékelni; továbbá különös figyelmet kell fordítani a 25. cikk (2) bekezdésében felsorolt számos, az adattovábbítás szempontjából fontos elemre.

(4)

A légiközlekedés keretében a Passenger Name Record (PNR) (utasnyilvántartási adatállomány) egy olyan adatállományt jelent, mely az egyes utasok az utazáshoz kötelezően megadandó adatait tartalmazza, és amely minden olyan információt magában foglal, melyek ahhoz szükségesek, hogy a jegykiállító és résztvevő légitársaságok elvégezhessék és ellenőrizhessék a foglalásokat. E határozat alkalmazásában az „utas” és az „utasok” kifejezés a személyzet tagjait is magában foglalja. „Jegykiállító légitársaság” az olyan légitársaságokat jelenti, melyeknél az utas eredeti foglalását leadta vagy amelyekhez további foglalások érkeztek be az utazás megkezdése után. A „résztvevő légitársaság” olyan légitársaságot jelöl, melynél a jegykiállító légitársaság egy vagy több járatára az utasa számára helyet foglalt.

(5)

Minden egyes olyan légifuvarozó, aki nem belföldi légiközlekedésben az Egyesült Államokból érkező vagy oda tartó utasszállító járat működtetésében érdekelt, köteles a Departments of Homeland Security (DHS) (Belbiztonsági Minisztérium) alá tartozó United States Bureau of Customs and Border Protection (CBP) (Egyesült Államok Vámügyi és Határvédelmi Irodája) számára elektronikus hozzáférést biztosítani a PNR-hez olyan mértékben, ahogy az a légifuvarozók automatizált foglalási rendszerében összegyűjtésre került.

(6)	A CBP részére továbbítandó, a légiutasok, a PNR-ben szereplő személyes adataival kapcsolatos kötelezően megadandó információk az Egyesült Államok által 2001 novemberében elfogadott törvényben (2), illetve a CBP által az alapján elfogadott végrehajtási rendelkezéseken alapul (3).

(7)

E jogszabályok a biztonság megerősítését, valamint a személyek ki- és beléptetésének feltételeit érintik – két olyan kérdés, amelyben az Egyesült Államoknak szuverén joga van joghatóságán belül dönteni. A megállapított követelmények továbbá nem összeférhetetlenek egyetlen, az Egyesült Államok által vállalt nemzetközi kötelezettségvállalással sem. Az Egyesült Államok egy olyan demokratikus ország, mely a jogállamiság elve, illetve az emberi szabadságjogokon alapuló szilárd tradíció alapján működik. Az Egyesült Államok jogalkotási folyamatának legitimitása és bíróságának szilárdsága és függetlensége nem kérdéses. A sajtószabadság pedig további garanciát nyújt az emberi szabadságjogok megsértése ellen.

(8)

A Közösség teljes mértékben támogatja az Egyesült Államok terrorizmus elleni küzdelmét a közösségi jog által megadott határokon belül. A közösségi jog előírja a biztonsági kérdések és a magánélet tiszteletben tartásával kapcsolatos kérdések közötti szükséges egyensúly megteremtését. Például a 95/46/EK irányelv 13. cikke előírja, hogy a tagállamok, amennyiben szükséges, jogszabályokat fogadhatnak el az irányelv által támasztott egyes követelmények körének korlátozására, nemzetbiztonsági, honvédelmi, közbiztonsági okokból kifolyólag, valamint bűncselekmények megelőzése, vizsgálata, felderítése és az ezekkel kapcsolatos eljárások lefolytatása érdekében.

(9)	A szóban forgó adattovábbításban részt vesznek bizonyos adatkezelők, nevezetesen azok a légitársaságok, melyek járatokat üzemeltetnek a Közösség és az Egyesült Államok között, valamint az Egyesült Államok területén a CBP, mint annak kizárólagos címzettje.

(10)

Bármely olyan intézkedést, mely jogi keretet határoz meg – különösen e határozat által – a PNR-adatok az Egyesült Államok részére való továbbításáról, határidőhöz kell kötni. A korlátozás három és fél éves időszakban lett megállapítva. Miután ezen időszak alatt a körülmények jelentősen változhatnak, a Bizottság és az Egyesült Államok egyetértenek abban, hogy szükség lesz az intézkedések felülvizsgálatára.

(11)

A CBP, a részére továbbított, a légiutasok PNR-adatállományában szereplő személyes adatok feldolgozását a Department of Homeland Security, Bureau of Customs and Border Protection (CBP) 2004. május 11-i Kötelezettségvállalásaiban (a továbbiakban „Kötelezettségvállalások”) és az Egyesült Államok nemzeti jogszabályaiban megállapított feltételek mellett végzi a Kötelezettségvállalásokban meghatározottaknak megfelelően.

(12)

Az Egyesült Államok nemzeti jogszabályai tekintetében a Freedom of Information Act (FOIA) (az információ szabadságáról szóló törvény) azért fontos a jelenlegi kontextusban, mert szabályozza azon feltételeket, melyek mellett a CBP elutasíthatja az adatok közzétételére vonatkozó kérelmeket és így megőrizheti a PNR titkosságát, továbbá mert – szoros kapcsolatban az érintett személy betekintési jogával –, megszabja a PNR az érintett számára való nyilvánosságra hozatalát. A FOIA megkülönböztetés nélkül vonatkozik mind az Egyesült Államok állampolgáraira, mind más állampolgárokra.

(13)

A Kötelezettségvállalások tekintetében, és annak (44) bekezdésének megfelelően, a Kötelezettségvállalásokban szereplő kijelentések az Egyesült Államokban bekerülnek vagy már beépültek törvényekbe, rendeletekbe, irányelvekbe vagy más jogalkotási eszközökbe és így különböző fokú jogi hatással rendelkeznek. A Kötelezettségvállalások teljes egészében kihirdetésre kerülnek a DHS felügyelete alatt kiadott Federal Register-ben (szövetségi közlöny). Mint ilyen, a DHS részéről komoly és jól megfontolt politikai kötelezettségvállalást jelentenek, melyek betartása az Egyesült Államok és a Közösség által közösen elvégzett felülvizsgálat tárgya lesz. A Kötelezettségvállalások megsértése értelemszerűen jogi, igazgatási és politikai csatornákon keresztül kifogásolható és amennyiben megsértésük folyamatos, az ezen határozat hatályon kívül helyezését okozhatja.

(14)	Az Egyesült Államok jogszabályain és a Kötelezettségvállalásokon alapuló követelményrendszer, mely alapján a CBP az utasok PNR-adatait kezeli, magában foglalja a természetes személyek adatainak megfelelő szintű védelméhez szükséges alapelveket.

(15)

A célhozkötöttség elve tekintetében, a CBP részére továbbított, a légiutasok PNR-ben szereplő személyes adatait egy konkrét célra használják fel és a továbbiakban csak olyan mértékben használják fel vagy adják tovább, amennyiben az nem összeférhetetlen az adattovábbítás céljával. A PNR-adatokat szigorúan olyan célokra használják fel, melyek a terrorizmus és a kapcsolódó bűncselekmények, a transznacionális jelleget öltő szervezett bűnözést magában foglaló egyéb súlyos bűncselekmények, illetve a fenti bűncselekményekért járó letartóztatás, illetve elfogatóparancs előli menekülés megelőzését és az elleni küzdelmet szolgálják.

(16)

A PNR-adatok fontos közérdeket szolgáló továbbítása szempontjából figyelembe veendő adatminőség és arányosság elve tekintetében, a CBP a részére továbbított PNR-adatokat a későbbiekben nem változtatja meg. Legfeljebb 34 PNR-adat kategóriát lehet továbbítani, továbbá az Egyesült Államok hatóságainak e lista bármely további adatkövetelménnyel való bővítése előtt konzultálnia kell a Bizottsággal. A PNR-adatokból levezethető további személyes információk kormányon kívüli forrásokból csak törvényes csatornákon keresztül szerezhetők be. Általában a PNR-t legkésőbb 3 év és 6 hónap után törölni kell, kivéve azon adatokat, melyeket egy adott nyomozás céljából adtak ki, vagy másképpen manuálisan konzultáltak.

(17)	Az átláthatóság elve tekintetében, a CBP egyéb információk mellett, tájékoztatja az utasokat az adattovábbítás és az adatfeldolgozás céljáról, illetve a harmadik országbeli adatkezelő személyazonosságáról.

(18)	A biztonsági elv vonatkozásában, a CBP technikai és szervezési biztonsági intézkedéseket hoz, amelyek a feldolgozás folyamán felmerülő veszélyek kezeléséhez megfelelőek.

(19)

Amennyiben az érintett személy másolatot kér a PNR-adatokról, illetve a téves adat helyesbítését kéri, a betekintési jogát és az adathelyesbítéshez való jogát tiszteletben kell tartani. Az előirányzott kivételek nagy mértékben hasonlítanak a 95/46/EK irányelv 13. cikkében szereplő, a tagállamok által megszabható korlátozásokra.

(20)

Adatot lehet továbbítani ezen kívül egyéb kormányzati szerveknek, beleértve olyan külföldi kormányzati szerveket, melyek terrorizmusellenes vagy bűnüldözési szerepköre van, eseti elbírálás szerint olyan célokból, amelyek megfelelnek a célhozkötöttségi nyilatkozatban foglalt céloknak. Szintén sor kerülhet adattovábbításra amennyiben ez az érintett vagy egyéb személyek számára életbevágóan fontos, különösen jelentős egészségügyi veszélyeztetés vagy bármely büntetőjogi bírósági eljárás folyamán, illetve más, törvény által megkövetelt esetekben. A befogadó ügynökségek a nyilvánosságra hozatal egyértelmű feltételei szerint kötelesek az adatokat csak az említett célból felhasználni, továbbá a CBP beleegyezése nélkül nem továbbíthatják az adatokat. A CBP adatbázisán keresztül egyetlen egy külföldi, szövetségi, állami vagy helyi ügynökségnek sincs közvetlen elektronikus hozzáférése a PNR-adatokhoz. A CBP megtagadja a PNR nyilvánosságra hozatalát a FOIA erre vonatkozó kivételeket meghatározó rendelkezései alapján.

(21)

A 95/46/EK irányelv 8. cikke értelmében a CBP nem használ fel különleges adatokat és ameddig egy, az Egyesült Államok számára továbbított PNR-ból az ilyen adatok kiszűrésére alkalmas rendszert nem állítanak fel, a CBP vállalja, hogy olyan eszközöket vezet be, melyek révén az említett adatok kitörölhetők úgy, hogy közben azok nem kerülnek felhasználásra.

(22)

A végrehajtási mechanizmusok tekintetében annak biztosítása érdekében, hogy a CBP ezen elveket betartsa, a CBP személyzete képzésben és tájékoztatásban részesül, továbbá a személyzet tagjaira vonatkozólag szankciók kerülnek bevezetésre. A magánélet általános tiszteletben tartását a CBP által a DHS Chief Privacy Officer (személyiségvédelmi főigazgató) ellenőrzi, aki, bár a DHS tisztviselője, széles körű szervezési autonómiával rendelkezik és éves beszámolási kötelezettséggel tartozik a Kongresszus felé. Azon személyek, kiknek PNR-adatait továbbították, panasszal fordulhatnak a CBP-hez, vagy amennyiben ez nem vezet eredményre, a DHS Chief Privacy Officer-hez, közvetlenül vagy a tagállamok adatvédelmi hatóságain keresztül. A DHS Privacy Office (Személyiségvédelmi Iroda) a tagállamok adatvédelmi hatóságai által felé továbbított, az Európai Unió területén lakóhellyel rendelkező polgároktól beérkező panaszokat gyorsított eljárásban kezeli, amennyiben a kérdéses polgár úgy véli, hogy panaszát a CBP vagy a DHS Privacy Office nem vizsgálta ki kielégítően. A Kötelezettségvállalások betartását minden évben közösen felülvizsgálja a CBP és a DHS, illetve egy, a Bizottság által vezetett csoport.

(23)

Az átláthatóság érdekében, illetve a tagállami illetékes szervek azon képességének biztosítása érdekében, hogy biztosítsák az egyének védelmét személyes adataik feldolgozása tekintetében, meg kell határozni azon rendkívüli körülményeket, melyek esetén a specifikus adatfolyam felfüggesztése igazolt lehet, annak ellenére, hogy a védelmi szintet megfelelőnek találták.

(24)

A 95/46/EK irányelv 29. cikke által létrehozott a személyesadat-feldolgozás vonatkozásában az egyének védelmével foglalkozó munkacsoport véleményeket adott ki az utasok adatai tekintetében az Egyesült Államok hatóságai által biztosított védelmi szintről, mely véleményeket a Bizottság a DHS-sel való tárgyalásai során útmutatóként használt. A Bizottság figyelembe vette e véleményeket e határozat kidolgozása során (4).

(25)	E határozatban előírt intézkedések összhangban vannak a 95/46/EK irányelv 31. cikke (1) bekezdése szerint felállított bizottság véleményével,

ELFOGADTA EZT A HATÁROZATOT:

1. cikk

A 95/46/EK irányelv 25. cikke (2) bekezdésére tekintettel, az United States Bureau of Customs and Border Protection (CBP) a mellékletben megállapított Kötelezettségvállalásokkal összhangban úgy tekintendő, mint amely a Közösség részéről történő, az Egyesült Államokból érkező, illetve az oda tartó légijáratokra vonatkozó PNR-adatok továbbításához szükséges megfelelő védelmi szintet biztosítja.

2. cikk

E határozat a CBP által biztosított védelem megfelelőségét érinti a 95/46/EK irányelv 25. cikke (1) bekezdése előírásainak való megfelelés céljából és nem érinti az említett irányelv egyéb rendelkezéseit végrehajtó, a személyes adatok tagállamokon belül történő feldolgozására vonatkozó egyéb feltételeket és korlátozásokat.

3. cikk

(1) Azon hatáskörök sérelme nélkül, amelyek alapján a tagállamok illetékes hatóságai felléphetnek a 95/46/EK irányelv 25. cikkétől eltérő rendelkezések szerint elfogadott nemzeti rendelkezéseknek betartása érdekében, a tagállamok illetékes hatóságai gyakorolhatják a CBP felé történő adatáramlás felfüggesztésre vonatkozó már fennálló hatáskörüket abból a célból, hogy megvédjék a magánszemélyeket személyes adataik feldolgozására való tekintettel a következő esetekben:

a)	amennyiben az Egyesült Államok egy illetékes hatósága megállapítja, hogy a CBP megsérti az alkalmazandó adatvédelmi követelményrendszert; vagy

amennyiben alaposan valószínűsíthető, hogy a mellékletben megállapított védelmi követelményrendszert megsértették, elfogadható alapja van azon feltételezésnek, hogy a CBP nem teszi meg vagy nem fogja megtenni a szükséges és időszerű lépéseket annak érdekében, hogy elintézze a szóban forgó ügyet, az adattovábbítás folytatása az érintett személy számára súlyos károk közvetlen kockázatával jár és az illetékes tagállami szervek megtették az ésszerű erőfeszítéseket az adott viszonyok között annak érdekében, hogy értesítsék a CBP-t és, hogy lehetőséget nyújtsanak neki a válaszadásra.

(2) A felfüggesztésnek véget kell vetni, amint a biztonsági követelmények biztosítva vannak és az érintett tagállamok illetékes hivatalát erről értesítették.

4. cikk

(1) A tagállamok késedelem nélkül értesítik a Bizottságot, amennyiben a 3. cikk szerinti intézkedéseket hoznak.

(2) A tagállamok és a Bizottság kölcsönösen értesítik egymást minden, az adatvédelmi követelményrendszerben beálló változásról és azon esetekről, amelyekben a mellékletben megállapított, a CBP által felállított adatvédelmi követelményrendszernek való megfelelés biztosításáért felelős illetékes szervek fellépése nem biztosítja e megfelelést.

(3) Amennyiben a 3. cikk, illetve ugyanezen cikk (1) és (2) bekezdése értelmében begyűjtött információ bizonyítékul szolgál arra, hogy a természetes személyek védelmének megfelelő szintjéhez szükséges alapelveket már nem tartják be, vagy hogy a mellékletben megállapított, a CBP által felállított adatvédelmi követelményrendszernek való megfelelés biztosításáért felelős illetékes szervek nem végzik eredményesen feladatukat, a CBP-t értesíteni kell, és amennyiben szükséges, a 95/46/EK rendelet 31. cikke (2) bekezdésében említett eljárást kell alkalmazni e határozat hatályon kívül helyezésére vagy felfüggesztésére.

5. cikk

E határozat alkalmazását felügyelni kell és a 95/46/EK irányelv 31. cikke értelmében felállított bizottságnak jelenteni kell bármely vonatkozó ténymegállapítást, beleértve minden olyan ténymegállapítást, amely érintheti a jelen határozat 1. cikkében szereplő azon megítélést, hogy a CBP részére továbbított, a légiutasok PNR-je által tartalmazott személyes adatok védelme a 95/46/EK irányelv 25. cikkének értelmében megfelelő.

6. cikk

A tagállamok e határozatot kihirdetését követő négy hónapon belül megtesznek minden, annak alkalmazásához szükséges intézkedést.

7. cikk

E határozat a kihirdetését követő három év és hat hónap leteltével jár le, amennyiben a 95/46/EK irányelv 31. cikke (2) bekezdésében megállapított eljárással összhangban nem hosszabbítják meg azt.

8. cikk

E rendeletnek a tagállamok a címzettjei.

Kelt Brüsszelben, 2004. május 14-én.

a Bizottság részéről

Frederik BOLKESTEIN

a Bizottság tagja

(1) HL L 281., 1995.11.23., 31. o. Az 1882/2003/EK rendelet által módosított irányelv (HL L 284., 2003.10.31., 1. o.).

(2) 49. cím, United States Code, 44909(c)(3) szakasz.

(3) 19. cím, Code of Federal Regulations, 122.49b szakasz.

(4) A munkacsoport által 2002. október 24-én elfogadott, az utasokról való nyilvánvaló információk és egyéb adatok légitársaságoktól az Egyesült Államok számára való továbbításáról szóló, 6/2002 sz. vélemény, amely elérhető az alábbi internetes oldalon: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2002/wp66_en.pdf;

A munkacsoport által 2003. június 13-án elfogadott, az utasok adatainak továbbításához szükséges, az Egyesült Államokban biztosított biztonsági szintről szóló, 4/2003 sz. vélemény, amely elérhető az alábbi internetes oldalon: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2003/wp78_en.pdf;

PA munkacsoport által 2004. január 29-én elfogadott, az Egyesült Államok Vámügyi és Határvédelmi Irodája rendelkezésére bocsátandó, a légiutasok utasnyilvántartási adatállományában tárolt személyes adatok megfelelő védelméről szóló, 2/2004 sz. vélemény, amely elérhető az alábbi internetes oldalon: http://europa.eu.int/comm/internal_market/privacy/docs/wpdocs/2004/wp87_en.pdf

MELLÉKLET

A „DEPARTMENT OF HOMELAND SECURITY BUREAU OF CUSTOMS AND BORDER PROTECTION” (CBP) KÖTELEZETTSÉGVÁLLALÁSAI

Az Európai Bizottság (a továbbiakban a Bizottság) a 95/46/EK irányelv (a továbbiakban az Irányelv) 25. cikke (6) bekezdésében ráruházott hatáskörök gyakorlására vonatkozó szándékának megerősítéseként és a Department of Homeland Security Bureau of Customs and Border Protection-t (CBP) (Belbiztonsági Minisztérium Vámügyi és Határvédelmi Hivatal) elismerő határozat elfogadásának érdekében – amely egy olyan szerv, mely megfelelő védelmet biztosít az utasok légiszállításában az Irányelv alkalmazási körébe tartozó PNR-adatok (1) (Passanger Name Record – PNR) továbbítására – a CBP a következőket vállalja:

Jogalap a PNR-adatok megszerzésére

Törvényben foglalt jogállásuknál fogva (title 49, United States Code, section 44909(c)(3)) és ez utóbbi interim végrehajtó rendelkezéseinek (19. cím, Code of Federal Regulations, 122.49b szakasz) értelmében minden légifuvarozó, aki nem belföldi légiközlekedésben az Egyesült Államokból érkező vagy oda tartó utasszállító járat működtetésében érdekelt, köteles a CBP számára (korábban a United States Customs Service számára) – olyan mértékben, ahogy az a légifuvarozók automatizált foglalási/indulási ellenőrző rendszerében („foglalási rendszerek”) összegyűjtésre került – a PNR-adatokhoz való elektronikus hozzáférést biztosítani.

A PNR-adatok CBP általi felhasználása

A CBP a PNR-adatállományban szereplő legtöbb adatelemhez hozzáférhet az érintett személy repülőjegyének és egyéb utazási okmányainak a hagyományos határvédelmi hatóság általi megvizsgálásával, azonban azáltal, hogy a CBP ezen adatokat elektronikus úton is befogadhatja, megerősíti az Irodát abban, hogy egyszerűbbé tegye a bona fide (jóhiszemű) utazást, valamint eredményes és tényleges előzetes kockázatbecslést végezhet az utasok körében.

A PNR-adatokat a CBP kizárólag a következők megelőzésére és leküzdésére használja fel: 1. terrorizmus és kapcsolódó bűncselekmények; 2. egyéb súlyos bűncselekmények, beleértve a transznacionális jelleget öltő szervezett bűnözést; és 3. a fenti bűncselekmények elkövetése után esedékes letartóztatás, illetve elfogatóparancs előli menekülés. A PNR-ben tárolt adatoknak a fenti célokra való felhasználásával a CBP a magas kockázati besorolású problémákra koncentrálhat, és ezzel megkönnyítheti és biztosíthatja a jóhiszemű utazást.

Kötelezően megadandó adatok

A CBP számára kötelezően megadandó adatokat az „A” melléklet tartalmazza. (A továbbiakban a jelen Kötelezettségvállalások alkalmazásában „PNR-adatok”.) Bár az „A” mellékletben felsorolt harmincnégy (34) adat mindegyikét a CBP rendelkezésére kell bocsátani, az Iroda megítélése szerint ritkán fordul majd elő, hogy egy adott PNR-adatállomány az összes adatot tartalmazza. Ha a PNR hiányos, a CBP-nek nem célja, hogy az „A” mellékletben nem szereplő PNR-adatokat a légifuvarozók foglalási rendszereiből közvetlenül is lekérje.

Az OSI- és SSI/SSR-adatelemek esetében (a továbbiakban rendszerint „általános megjegyzések” vagy „nyílt mezők”) a CBP automatizált rendszere az „A” mellékletben szereplő egyéb adatokra keresi e mezőket. A CBP személyzete nem jogosult arra, hogy kézi úton nézze át valamennyi OSI és SSI/SSR mezőt, kivéve, ha az adott PNR-utast a CBP a jelen dokumentum 3. bekezdésében meghatározott célok bármelyikével kapcsolatban álló magas kockázati besorolású utasként azonosítja.

A PNR-adatokból levezethető további személyes információk a kormányon kívül csak törvényes csatornákon keresztül szerezhetők meg – beleértve adott esetben a kölcsönös jogi segítségnyújtást –, és kizárólag a jelen dokumentum 3. bekezdésében meghatározott célokra. Például ha a PNR-listán egy hitelkártya szám szerepel, az ehhez a számlához kapcsolódó tranzakciókról szóló információk csak jogi úton kérhetők ki (egy bírósági határozat vagy Grand Jury (esküdtszék) által kibocsátott idézés, vagy más, törvény által meghatározott formában). Ezen felül a PNR-adatállományban szereplő e-mail fiókokhoz való hozzáféréshez is a keresett információ típusától függően az Egyesült Államokban idézés, bírósági határozat, elfogatóparancs és egyéb, törvényi kereteken belül engedélyezett eljárások szükségesek.

Ha további olyan PNR-adatok jutnak a CBP tudomására, amelyekkel a légitársaságok esetlegesen bővítik rendszereiket, s ezzel az Iroda az utasokkal kapcsolatos kockázatbecslést végezhet, illetve ha a körülmények arra utalnak, hogy egy eddig nem kötelező PNR-adat szükséges a jelen Kötelezettségvállalások 3. bekezdésében említett korlátozott célok megvalósításához, a CBP – mielőtt átnézné a PNR-adatokat („A” melléklet) – azok felülvizsgálatáról konzultál az Európai Bizottsággal.

A CBP a PNR-adatokat ömlesztve továbbítja a Transportation Security Administration részére (TSA) (Egyesült Államok Közlekedésbiztonsági Hivatal), hogy az a TSA Computer Assisted Passenger Prescreening System II-t (CAPPS II) (számítógéppel támogatott utasátvizsgáló rendszer) letesztelje. Az adatokat a CBP azonban mindaddig nem továbbítja, amíg először a Egyesült Államok belföldi járataival kapcsolatos PNR-adatok tesztelését nem engedélyezték. E rendelkezés értelmében továbbított PNR-adatokat a TSA vagy egyéb, a tesztelésben közvetlenül érintett fél a tesztelési célokhoz szükséges időn túl nem tartja vissza, és nem továbbítja azt egyetlen harmadik félnek sem (2). E folyamat célja kizárólag a CAPPS II rendszer és felhasználói felületeinek tesztelése, és – az olyan sürgősségi esetek kivételével, amikor egy ismert terroristát, vagy egy terroristakapcsolatokkal rendelkező személyt sikerül beazonosítani – semmiféle tényleges következménnyel nem jár. A 10. bekezdésben említett automatizált szűrési módszert igénylő intézkedés értelmében a CBP, mielőtt a PNR-adatokat a TSA-nak e bekezdés értelmében ömlesztve továbbítaná, kiszűri és megsemmisíti az ún. „különleges” adatokat.

A „különleges” adatok kezelése

A CBP a lent leírt „különleges” PNR-adatokat nem használja fel (pl. a faji vagy kisebbségi hovatartozással kapcsolatos személyes adatok, politikai nézet, vallási vagy filozófiai meggyőződések, szakszervezeti tagság, illetve az egyén egészségével vagy szexuális életével kapcsolatos adatok).

10.

A CBP a lehető legrövidebb határidőn belül egy olyan automatizált rendszert hoz létre, amely kiszűri és törli azokat a „különleges” PNR-kódokat és kifejezéseket, amelyeket a CBP az Európai Bizottsággal való konzultáció során határozott meg.

11.

Amíg ezek az automatizált szűrők nem működnek, a CBP álláspontja szerint nem használja és a jövőben sem fogja használni a „különleges” PNR-adatokat, és a 28–34 bekezdések (3) értelmében vállalja, hogy a „különleges” adatokat törli a PNR továbbadásra szánt adatainak listájáról.

A PNR-adatokhoz való hozzáférés

12.

A CBP által a légifuvarozók foglalási rendszereiből lekért (vagy kapott) és a potenciálisan határvizsgálat alá eső személyek azonosítását szolgáló és közvetlenül hozzáférhető (vagy a CBP-hez beérkezett) adatok esetében a CBP alkalmazottai kizárólag azokra a személyekre vonatkozó PNR-adatokat tekinthetik meg (kaphatják meg) és használhatják fel, akik útjuk során be- vagy kiutazáskor átlépik az Egyesült Államok határát (4).

13.

A CBP egészen addig kénytelen a légifuvarozók foglalási rendszerinek adataiból „lehívni”, amíg a légifuvarozók nem hoznak létre egy olyan rendszert, ami a CBP felé „továbbítja” az adatokat.

14.

A CBP a kérdéses járat indulása előtt legkevesebb 72 órával elkéri a járattal kapcsolatos PNR-adatokat, és maximum három (3) alkalommal újra ellenőrzi a rendszert az első adatkikérés, a járat egy külföldi pontról való elindulása és a járat az Egyesült Államokba való megérkezése között, vagy az első adatkikérés és a járat az Egyesült Államokból való elindulása között, az információk bárminemű változása rögzítésének céljából. Abban az esetben, ha a légifuvarozó létrehozta rendszerét, amellyel PNR-adatokat tud továbbítani a CBP-hez, ezeknek az adatoknak az adott járat indulása előtt 72 órával be kell érkezniük az Irodához, feltéve, ha a PNR-adatokban beállt összes változást, amely e pont és a járat az Egyesült Államokba való megérkezése vagy onnan való indulása között történt szintén továbbítja a CBP felé (5). Abban a rendkívüli esetben, ha a CBP előre értesül arról, hogy várhatóan egy kiemelt figyelmet érdemlő személy (vagy személyek) utazik(nak) a kérdéses járaton az Egyesült Államokba, vagy az Egyesült Államokból, vagy az Egyesült Államok területén keresztül, az Iroda a járat indulása előtt 72 órával megsürgetheti (vagy soron kívül kérheti) a PNR-adatok kiadását, hogy – amennyiben szükséges – foganatosíthassa a 3. bekezdésben felsorolt támadás elhárítását szolgáló megfelelő bűnüldözési intézkedéseket. A megvalósíthatóság határain belül ilyen esetekben, ahol CBP-nek a járat indulása előtt 72 órával hozzá kell jutnia a PNR-adatokhoz, az Iroda a bűnüldözés szokásos csatornáit veszi igénybe.

A PNR-adatok tárolása

15.

A National Archives and Records Administration (Egyesült Államok Nemzeti Levéltár) (44 U.S.C. 2101, et seq.) jóváhagyásától függően a CBP a PNR-adatokhoz való on-line hozzáférést kizárólag az engedéllyel rendelkező CBP felhasználók számára teszi lehetővé (6) hétnapos (7) időtartamra. Ez után a PNR-adatok megtekintésére feljogosított tisztviselők számát tovább korlátozzák három év és hat hónapos (3,5 év) időtartamra attól számítva, hogy az adatot a légifuvarozók foglalási rendszere elküldte, vagy azok a CBP-hez beérkeztek. 3,5 év elteltével azok a PNR-adatok, amelyeket ezen időszak alatt manuálisan nem konzultáltak, megsemmisítésre kerülnek, míg azokat a PNR-adatokat, amelyeket a kezdeti 3,5 évben manuálisan konzultáltak, a CBP egy archívumba (7) helyezi, ahol további nyolc (8) év tárolás után megsemmisítésre kerülnek. Ennek ellenére ez a rendszer nem érvényes azon PNR-adatokra, melyek egy adott bűnüldözési nyilvántartással kapcsolatosak (ezek az adatok egészen addig hozzáférhetők, ameddig az adott nyilvántartás archiválva van). Azon PNR-adatok esetében, amelyeket a CBP a jelen Kötelezettségvállalások tényleges időtartama alatt közvetlenül a légifuvarozók foglalási rendszereiből szerez meg, vagy amelyek ezekből a rendszerekből érkeznek be az Irodához, a CBP tartja magát az e bekezdésben meghatározott adattárolási elvekhez a Kötelezettségvállalások határidejének a 46. bekezdésben meghatározott lehetséges lejártától függetlenül.

A CBP számítógépes rendszerének biztonsága

16.

Az arra felhatalmazott CBP-személyzet a zártláncú, end-to-end titkosított és a Customs Data Center (Vámhivatali adatközpont) által ellenőrzött intraneten keresztül férhet hozzá a PNR-adatokhoz. A CBP adatbázisaiban tárolt PNR-adatokhoz az arra felhatalmazott személyzet kizárólag read-only (csak olvasásra) formátumban férhet hozzá, azaz az adatállomány a program szerint újraformattálódhat, de a CBP – miután egy légifuvarozó foglalási rendszeréből letöltötte azokat – semmiféleképpen sem változtatja meg az adatokat érdemben.

17.

A CBP adatbázisaiban (beleértve az Interagency Border Inspection System-et (IBIS) (Intézményközi Határvédelmi Felügyeleti Rendszer)) tárolt PNR-adatokhoz semmilyen egyéb külföldi, szövetségi, állami vagy helyi ügynökségnek nincs elektronikus hozzáférési joga.

18.

A CBP adatbázis lekérdezésének részletei (ki, hol, mikor – dátum és idő –, valamint az adatok bármilyen módosítása) automatikusan tárolódnak, és azokat az Office of Internal Affairs (Belügyi Hivatal) a rendszer jogtalan használatának kiküszöbölése érdekében folyamatosan ellenőrzi.

19.

A CBP számítógépes rendszerében kizárólag az előzetes átvilágításon sikeresen túljutott CBP-tisztviselők, -alkalmazottak, és a CBP ellenőrzése mellett tevékenykedő információtechnológiai vállalkozók (8) rendelkeznek aktív, jelszóvédett fiókkal, és kizárólag e személyek rendelkeznek hivatalos indokkal arra, hogy a PNR-adatokat módosítsák és azokhoz hozzáférjenek.

20.

A CBP-tisztviselők, -alkalmazottak és szerződéses vállalkozók kétévente kötelesek elvégezni egy tesztírással egybekötött komplett biztonsági és adatvédelmi tanfolyamot. A CBP rendszerellenőrzés célja, hogy felügyelje és biztosítsa, hogy a rendszer valamennyi adatvédelmi és adatbiztonsági követelménynek megfelel.

21.

Amennyiben a CBP személyzetének bármely tagja jogosulatlanul lép be a légifuvarozók foglalási rendszereibe, vagy a CBP PNR-adatokat is tároló számítógépesített rendszerébe, az súlyos – akár elbocsátással is járó – fegyelmi eljárást von maga után, és akár büntetőjogi intézkedést is kiválthat (bírság, egy évig terjedő szabadságvesztés, adott esetben mindkettő) (lásd: 18. cím, United States Code, 1030. szakasz).

22.

A CBP elvei és szabályzata szintén szigorú fegyelmi eljárást ír elő (amely akár a szerződés felbontását is eredményezheti) minden olyan CBP-alkalmazott ellen, aki bármely, a CBP számítógépes rendszerében tárolt információt hivatalos felhatalmazás nélkül nyilvánosságra hoz (19. cím, Code of Federal Regulations, 103.34. szakasz).

23.

Büntetőjogi intézkedések (bírságok, egy évig terjedő szabadságvesztés, adott esetben mindkettő) az Egyesült Államok bármely tiszviselője vagy alkalmazottja ellen foganatosíthatók, amennyiben a kérdéses személy munkaszerződésének ideje alatt olyan hozzá beérkezett PNR-adatokat tesz közzé, amelynek nyilvánosságra hozatalát törvény tiltja (lásd: 18. cím, United States Code, 641., 1030., 1905. szakaszok).

A PNR-adatok CBP általi kezelése és védelme

24.

A CBP állampolgárságtól vagy lakhelytől függetlenül az érintett személlyel kapcsolatos PNR-információkat a bűnüldözés szempontjából fontos, bizalmas, személyes jellegű információként, míg a légifuvarozóval kapcsolatos adatokat bizalmas kereskedelmi jellegű információként kezeli. Ezért ilyen adatokat nem hoz nyilvánosságra, kivéve, ha annak közzététele e Kötelezettségvállalásokkal összhangban van, illetve ha a jogszabály úgy rendelkezik.

25.

A PNR-adatok közzétételét általánosságban a Freedom of Information Act (FOIA) (az információ szabadságáról szóló törvény) (5. cím, United States Code, 552. szakasz) szabályozza, amely az állampolgárságtól vagy tartózkodási helytől függetlenül bárki számára lehetővé teszi, hogy beletekintsen az Egyesült Államok szövetségi ügynökségeinek adatállományaiba, kivéve, ha ezek az adatok (vagy azok egy része) a FOIA-ban meghatározott kivétel értelmében nem kerülhetnek nyilvánosságra. E kivételek egyike szerint a FOIA lehetővé teszi, hogy egy ügynökség egy nyilvántartást (vagy annak egy részét) visszatartson a közzétételtől, amennyiben az információ bizalmas kereskedelmi jellegű, közzététele a magánéletbe való illetéktelen beavatkozásnak minősül, vagy bűnüldözési célokkal van összefüggésben – mindezt azon mértékig, ameddig a közzététel várhatóan a magánéletbe való illetéktelen beavatkozásnak minősül (5. cím, United States Code, 552(b)(4), (6), (7)(C) szakaszok).

26.

A CBP-ről szóló rendelkezések (19. cím, Code of Federal Regulations, 103.12. szakasz), amelyek a FOIA értelmében szabályozzák az információ-lekérdezés (pl. a PNR-adatok) menetét, hangsúlyozottan rendelkeznek arról, hogy a FOIA közzétételről szóló kitételei (kivéve, ha a kérés magától az utastól érkezik) nem alkalmazhatók a következőkkel kapcsolatos CBP-adatokra: 1. bizalmas kereskedelmi információ; 2. a magánéletet érintő információ, amelynek közzététele a magánéletbe való illetéktelen beavatkozásnak minősülne, és 3. a bűnüldözési célból begyűjtött információ, melynek közzététele várhatóan a magánéletbe való illetéktelen beavatkozásnak minősülne (9).

27.

A CBP bármilyen, a légifuvarozóktól bekért PNR-információnak a FOIA értelmében való lekérdezéséből fakadó minden jogi vagy igazgatási eljárással kapcsolatban arra hivatkozik, hogy ezek az adatok a FOIA értelmében nem hozhatók nyilvánosságra.

A PNR-adatok továbbítása más kormányzati szervekhez

28.

A 8. bekezdésben meghatározott, a CBP és a TSA közötti adatátvitel kivételével a Department of Homeland Security (DHS) (Belbiztonsági Minisztérium) hivatalai ún. „harmadik ügynökségek”, amelyekre a PNR-adatok megosztásának ugyanazon szabályai és feltételei vonatkoznak, mint bármely más, a DHS-en kívüli kormányzati szervre.

29.

A CBP szabad mérlegelése szerint és egyedi elbírálási alapon csak olyan célokból továbbít kormányzati szerveknek PNR-adatokat (beleértve a terrorizmusellenes vagy bűnüldözési tevékenységet folytató külföldi kormányokat), melyek a 3. bekezdésben felsorolt események megelőzését és leküzdését szolgálják. (E kormányzati szervek megnevezése a továbbiakban: „Kijelölt hatóságok”).

30.

A CBP megfontoltan mérlegeli, hogy továbbítja-e a PNR-adatokat a megállapított célok érdekében. A CBP először megállapítja, hogy a PNR-adat egy másik kijelölt hatóság előtti felfedése összeegyeztethető-e a megállapított célokkal (lásd: 29. bekezdés). Ha igen, úgy a CBP – amennyiben tudomására jut, hogy törvényszegés vagy esetleges törvényszegés veszélye áll fenn – eldönti, hogy a kijelölt hatóság felelős-e a fenti céllal kapcsolatos törvény vagy jogszabály megszegésének megelőzéséért, annak kivizsgálásáért vagy azzal kapcsolatos vádemeléséért, vagy a törvény vagy rendelet végrehajtásáért és hatályba léptetéséért. A közzététel kritériumait az összes ismertetett körülmény fényében felül kell vizsgálni.

31.

A többi kijelölt hatósággal is megosztható PNR-adatok terjesztésének szabályozása tekintetében az adat „gazdája” a CBP, és a kijelölt hatóságok a közzététel egyértelmű feltételei értelmében kötelesek 1. a PNR-adatokat kizárólag a 29. és 34. bekezdésben meghatározott célokra felhasználni; 2. összhangban a kijelölt hatóságok adattárolási eljárásaival biztosítani a beérkezett PNR-adatok rendszeres megsemmisítését, és 3. az adatok bármilyen továbbításához kötelesek elnyerni a CBP kifejezett felhatalmazását. Az adattovábbítás feltételeinek be nem tartását a DHS Chief Privacy Officer vizsgálja ki és foglalja jelentésbe. Az ilyen mulasztást elkövetett kijelölt hatóság számára a CBP kizárhatja a PNR-adatok befogadását.

32.

A PNR-adatokat a CBP aszerint teszi közzé, hogy az adott adatot a befogadó ügynökség bizalmas kereskedelmi és a bűnüldözés szempontjából fontos információként, vagy az érintettről szóló bizalmas, személyes információként kezeli (vö. 25. és 26. bekezdés), mely utóbbi a Freedom of Information Act (5 U.S.C. 552) értelmében nem hozható nyilvánosságra. Ezen kívül a fogadó ügynökséget értesíteni kell arról, hogy az ilyen információ továbbadása tilos a CBP előzetes kifejezett felhatalmazása nélkül. A CBP nem engedélyezi a PNR-adatok továbbítását a 29., 34. és 35. bekezdésekben említett céloktól eltérő esetekben.

33.

A kijelölt hatóságok alkalmazásában álló, és PNR-adatokat felhatalmazás nélkül közzétevő személyek büntetőjogi intézkedéssel is sújthatók (18. cím, United States Code, 641., 1030., 1905. szakaszok).

34.

E dokumentumban szereplő egyetlen kijelentés sem hátráltathatja a PNR-adatok felhasználását vagy közzétételét a megfelelő kormányzati szervek által vagy felé, ha ez szükséges az érintett vagy más személyek létfontosságú érdekének védelméhez, különös tekintettel az egészséget jelentősen fenyegető kockázatokra. Az e célokból történő közzétételre az adattovábbítás ugyanazon feltételei vonatkoznak, mint az e Kötelezettségvállalások 31. és 32. bekezdéseiben meghatározott kritériumok.

35.

E Kötelezettségvállalásokban szereplő egyetlen kijelentés sem hátráltathatja a PNR-adatok felhasználását vagy közzétételét semmilyen büntetőjogi bírósági eljárásban, vagy más, törvény által meghatározott esetben. A CBP minden olyan egyesült államokbeli jogszabály elfogadásáról értesíti az Európai Bizottságot, amely jelentősen befolyásolja a jelen Kötelezettségvállalásokban tett kijelentéseket.

Az érintett utasok tájékoztatáshoz, betekintéshez, felülvizsgálathoz való joga

36.

A CBP tájékoztatja az utazóközönséget arról, hogy mely adatok szükségesek a PNR-adatállomány feltöltéséhez, valamint a PNR-adatok felhasználásával kapcsolatos kérdésekről (pl. általános tájékoztatást nyújt arról a hatóságról, amelynek hatáskörében az adatot begyűjtötték, az adatgyűjtés céljáról, az adatvédelemről, az adatmegosztásról, az illetékes ügyintéző személyazonosságáról, lehetséges jogorvoslati eljárásokról, a kérdésekkel, problémákkal rendelkező személyek kapcsolattartóiról stb., és ezeket a CBP weboldalán, illetve utazási tájékoztatókban jelenteti meg).

37.

Ha az érintett (lásd még: „first party requester” [elsődleges kikérő]) másolatot kér a CBP-adatbázisban szereplő vele kapcsolatos PNR-adatokról, azt a Freedom of Information Act (FOIA) szerint kell teljesíteni. Ezeket a kéréseket a következő postai címre kell eljuttatni: Freedom of Information Act (FOIA) Request, U.S. Customs and Border Protection, 1300 Pennsylvania Avenue, N.W., Washington, D.C. 20229, illetve a Disclosure Law Officer, U.S. Customs and Border Protection, Headquarters, Washington, D.C. A FOIA értelmében megfogalmazott kérések teljesítéséről és az eljárásokról szóló további információ a Code of Federal Regulations, 19. cím, 103.5. szakaszban olvasható. Amennyiben a kérés az érintettől származik, úgy – mivel a CBP a PNR-adatokat az adatalanyról szóló bizalmas és személyes információként, illetve a légifuvarozóról szóló bizalmas kereskedelmi információként kezeli – e tényt az Iroda nem arra fogja felhasználni, hogy a FOIA-ra való hivatkozással az adatalany elől visszatartsa az őt érintő információkat.

38.

Bizonyos kivételes körülmények között az 5. cím, United States Code, 552(b) szakasz értelmében a CBP-nek jogában áll a FOIA értelmében ráruházott jogkörét arra használni, hogy az érintettre vonatkozó PNR-adat (vagy egy részének) közzétételét megtagadja, illetve elhalassza (pl. ha a FOIA értelmében végrehajtott közzététel „várhatóan ellentmond a végrehajtási eljárásoknak” vagy „olyan bűnüldözési eljárásokat vagy módszereket hoz nyilvánosságra ... [amelyek] várhatóan a törvény megkerülésének kockázatával járnak”). A FOIA értelmében bárkinek, aki kérdést fogalmaz meg, jogában áll közigazgatási vagy bírósági úton kifogásolni, ha a CBP az információ visszatartásáról dönt (lásd: 5 U.S.C. 552(a)(4)(B); 19 CFR 103.7-103.9).

39.

A CBP vállalja, hogy az utasok, a személyzet tagjai, a légifuvarozók vagy az adatvédelmi hatóságok (DPA) kérésére helyesbíti (10) az adatokat (addig a mértékig, amíg az érintett arra különleges felhatalmazást ad) az Európai Unió tagállamaiban, amennyiben megállapítja, hogy ezen adatok szerepelnek adatbázisában, és a helyesbítés indokolt és kellően alátámasztott. A CBP minden PNR-adatot befogadó kijelölt hatóságot tájékoztat az adott PNR-adat minden lényeges helyesbítéséről.

40.

A CBP adatbázisában található PNR-adatok helyesbítésére vonatkozó kérelmeket, illetve a CBP által magánszemélyek PNR-adatainak kezelésével kapcsolatos egyéni panaszokat (addig a mértékig, amíg az érintett arra különleges felhatalmazást ad) közvetlenül, illetve az adatvédelmi hatóságokon keresztül lehet megtenni a következő címen: Assistant Commissioner, Office of Field Operations, U.S. Bureau of Customs and Border Protection, 1300 Pennsylvania Avenue, N.W., Washington, D.C. 20229.

41.

Amennyiben a CBP nem tudja orvosolni a panaszt, azt a Chief Privacy Officer-nek címezve írásban kell elküldeni a következő címre: Department of Homeland Security, Washington, DC 20528. A Chief Privacy Officer , megvizsgálja a helyzetet és törekszik a panasz orvoslására (11).

42.

Ezen túlmenően a DHS Privacy Office által a tagállamok adatvédelmi hatóságai (DPA) által felé továbbított, és az Európai Unió területén lakóhellyel rendelkező polgártól beérkező panaszokat gyorsított eljárásban kezeli, ha a kérdéses polgárok felhatalmazzák a DPA-t arra, hogy az ő nevükben lépjen fel, illetve úgy vélik, hogy PNR-rel kapcsolatos panaszukat a CBP vagy a DHS Privacy Office nem vizsgálta ki kielégítően (e Kötelezettségvállalások 37–41. bekezdéseinek megfelelően). A Privacy Office következtetéseit jelentésbe foglalja és minden meghozott intézkedésről értesíti az érintett adatvédelmi hatóságokat. A DHS Chief Privacy Officer-nek a Kongresszushoz intézett jelentése tartalmazza a személyes adatok (mint a PNR) kezelésével kapcsolatos panaszokat és azok orvoslását (12).

Megfelelési kérdések

43.

A CBP és a DHS közösen vállalja, hogy évente egyszer, vagy – amennyiben a felek beleegyeznek – többszöri közös felülvizsgálatot végez az Európai Bizottsággal, melyet a jelen Kötelezettségvállalások végrehajtásában az európai bűnüldözési hatóságok és az Európai Unió tagállamainak hatóságai támogatnak (13), Ezen együttműködés célja, hogy közösen járuljanak hozzá az e Kötelezettségvállalásokban ismertetett folyamatok sikeres működéséhez.

44.

A CBP olyan rendeleteket, irányelveket vagy egyéb jogi eszközöket fog kiadni, melyekbe beépíti a jelen dokumentumban szereplő kijelentéseket annak érdekében hogy a CBP tiszviselők, alkalmazottak és szerződéses vállalkozók tartsák magukat e Kötelezettségvállalásokhoz. Mint e dokumentumban már említésre került, ha a CBP tiszviselői, alkalmazottai és szerződéses vállalkozói nem tartják tiszteletben a CBP jelen dokumentumban megfogalmazott elveit, az szigorú fegyelmi, illetve büntetőjogi intézkedéseket is maga után vonhat.

Viszonosság elve

45.

Ha egy légitársaság utasazonosító rendszere az Európai Unióban is bevezetésre kerül – minek folytán a légifuvarozók kötelesek a hatóságok számára rendelkezésre bocsátani azon személyekre vonatkozó PNR-adatokat, akik útjuk során érintik Európai Unió bármely tagországát (ki- vagy beutazás) – a CBP szigorúan a viszonosság elvének alapján kérheti az egyesült államokbeli légitársaságok együttműködését.

A Kötelezettségvállalások felülvizsgálata és határideje

46.

E Kötelezettségvállalások érvényességi ideje az Egyesült Államok és az Európai Közösség között kötött egyezmény hatályba lépésének napjától számított három év és hat hónap (3,5 év). E Kötelezettségvállalások értelmében a PNR-adatokat az Irányelvvel összhangban a légifuvarozók ezen adatoknak a CBP felé való továbbítása céljából dolgozhatják fel. A hatálybalépéstől számított két év és hat hónap (2,5 év) után a CBP és a DHS együttesen tárgyalásokat kezdeményezhet az Európai Bizottsággal, melynek célja a Kötelezettségvállalások és a kölcsönösen elfogadott támogató intézkedések kiterjesztése. Amennyiben a jelen Kötelezettségvállalások megszűnése előtt nem sikerült kölcsönösen elfogadható megállapodásra jutni, a Kötelezettségvállalások hatályukat vesztik.

Precedensérték, illetve jogkeletkezés kizárása

47.

Ezen Kötelezettségvállalások nem hoznak létre, vagy ruháznak át semmilyen jogot, vagy kedvezményt semmilyen személyre vagy szerződő félre függetlenül attól, hogy az magánjogi vagy közjogi jellegű.

48.

E Kötelezettségvállalások rendelkezései nem képeznek semmilyen, a jövőben az Európai Bizottsággal, az Európai Unióval vagy bármilyen velük kapcsolatban álló szervezettel vagy harmadik országgal bármiféle adatátvitellel kapcsolatos tárgyalás precedensét.

2004. május 11.

(1) Ezen Kötelezettségvállalások alkalmazásában az „utas” és az „utasok” kifejezések a személyzet tagjaira is vonatkoznak.

(2) E rendelkezés alkalmazásában a CBP sem a CAPPS II rendszer tesztelésében közvetlenül résztvevő, sem pedig „harmadik félnek” nem tekintendő.

(3) A CBP automatizált szűrőinek felállítása előtt (10. bekezdés), abban az esetben, ha olyan „különleges” adat szerepel a PNR-ben, melynek CBP általi továbbadására a 35. bekezdés értelmében sor kerül, az Iroda mindent megtesz e „különleges” PNR-adatok közzétételének korlátozása érdekében, az Egyesült Államok jogszabályainak megfelelően.

(4) Ide tartoznak az Egyesült Államok területén átutazó utasok is.

(5) Amennyiben a PNR-adatok CBP felé való továbbítása a légifuvarozók hozzájárulásával történik, az ügynökség tárgyalásokat kezdeményez a légifuvarozókkal, melynek során áttekintik annak lehetőségét, hogy az ügynökség a PNR-adatokat a repülőgép egy külföldi pontról való indulása és az Egyesült Államokba való megérkezése közötti 72 órás időszak intervallumban, vagy értelemszerűen a járat Egyesült Államokból való indulását megelőző 72 órán belül továbbítja a CBP felé. A CBP továbbra is törekszik arra, hogy a szükséges PNR-adatokat – amelyek nélkülözhetetlenek az ügynökség eredményes kockázatértékelésének elvégzéséhez – továbbítsa, miközben csökkenti a légifuvarozókra nehezedő gazdasági terheket.

(6) Az engedéllyel rendelkező CBP-felhasználók közé tartoznak a területi irodák analitikai egységeiben dolgozó alkalmazottak, illetve a National Targeting Center (Nemzeti Célközpont) munkatársai. Mint már korábban utaltunk rá, a CBP-adatbázis karbantartásával, fejlesztésével és ellenőrzésével megbízott személyek az említett célokból szintén hozzáférhetnek ezekhez az adatokhoz.

(7) Noha a PNR-rekord az archívumba kerülésekor technikai értelemben nem törlődik, ún. nyers adatként (raw data) tárolódik (mivel nem könnyen kereshető formátumú, ezért a „hagyományos” bűnüldözési vizsgálatok nem tudják használni), és kizárólag a CBP Office of Internal Affairs (Belügyi Hivatal) felhatalmazott munkatársai (és bizonyos esetekben az ellenőrzések kapcsán az Office of the Inspector General [Főfelügyelői Hivatal]), valamint a CBP (Információtechnológiai Hivatal) adatbázisát karbantartó személyzet számára hozzáférhetők – „need to know” (feltétlenül szükséges) alapon.

(8) A „szerződéses vállalkozók” azon joga, hogy a CBP számítógépes rendszerében tárolt bármilyen PNR-adathoz hozzáférhetnek, csak a CBP-vel szerződéses viszonyban álló személyekre érvényes, akik a CBP számítógéprendszerének karbantartásában vagy fejlesztésében segédkeznek.

(9) A CBP ezeket a kivételeket egységesen alkalmazza, függetlenül attól, hogy az érintett személy milyen állampolgárságú, vagy mely országban rendelkezik lakóhellyel.

(10) A „helyesbítéssel” a CBP hangsúlyozza, hogy számára nem megengedett a légifuvarozóktól kapott, és ezáltal hozzáférhető PNR-adatok megváltoztatása. Ehelyett a PNR-hoz kapcsolódó, de különálló nyilvántartást hoznak létre amelyben a pontatlannak minősített és helyesbítésre váró adatok tárolódnak. A CBP magyarázatokkal látja el az utas másodlagos vizsgálati nyilvántartását annak bizonyítására, hogy a PNR-ban tárolt adatok némelyike pontatlan lehet.

(11) A DHS Chief Privacy Officer a Department of Homeland Security minden részlegétől függetlenül végzi munkáját. A Chief Privacy Officer státuszánál fogva köteles biztosítani, hogy a személyes jellegű információkat az idevágó jogszabályoknak megfelelő módon használják fel (lásd 13. lábjegyzet). A Chief Privacy Officer véghatározatai a DHS részére kötelező jellegűek, és nem szolgálhatnak politikai célokat.

(12) A 2002. évi Section 222, Homeland Security Act (a Törvény) értelmében (Public Law 107-296, 2002. november 25.), a DHS Privacy Officer feladata a Minisztérium által javasolt, és a „személyes információ – beleértve az összegyűjtött személyes jellegű információk típusát és az érintett személyek számát” – tiszteletben tartásáról szóló jogszabályok által a magánélet védelmére gyakorlolt hatások vizsgálata (privacy impact assessment). Feladata továbbá, hogy évente jelentsen a Kongresszusnak a Minisztérium „a magánéletet érintő tevékenységéről…”. A Törvény 222(5) szakaszának értelmében szintén a DHS Privacy Officer köteles minden, a „magánélet sérelmével kapcsolatos panaszt” meghallgatni, és azokat a Kongresszus felé jelenteni.

(13) A résztvevő csoportok összetételéről egymást kölcsönösen előre tájékoztatják a felek. A csoportban szerepelhetnek a személyes adat védelméért felelős illetékes tagállami hatóságok, vámellenőrök, a bűnüldözés egyéb formái, határvédelem és/vagy légvédelem. A résztvevő hatóságoknak minden szükséges biztonsági ellenőrzést el kell végezniük, és tartaniuk kell magukat a tárgyalások, illetve az általuk megtekinthető dokumentáció bizalmas jellegéhez. A bizalmassági kitétel ugyanakkor nem lehet akadálya annak, hogy mindkét két fél jelentést készítsen saját illetékes hatósága – az Egyesült Államok Kongresszusa és az Európai Parlament – felé a közös ellenőrzés eredményeiről. Ugyanakkor a résztvevő hatóságok semmilyen körülmények között sem tehetnek közzé egyetlen, az érintett személlyel kapcsolatos személyes jellegű adatot sem. A hatóságok az általuk megtekinthető dokumentumokból származó egyetlen nem nyilvános információt, illetve semmilyen, a közös ellenőrzés során tudomásukra jutott operatív vagy belső ügynökségi információt sem hozhatnak nyilvánosságra. A két fél kölcsönösen meghatározza a közös ellenőrzés részletes módozatait.