IP/04/650
Bryssel den 17 maj 2004
Kommissionen garanterar skydd av transatlantiska
flygpassagerares personuppgifter
Tack vare ett formellt beslut som Europeiska kommissionen har fattat börjar
snart USA:s regering att tillämpa åtaganden som innebär skydd i USA för
transatlantiska flygpassagerares personuppgifter. Enligt beslutet anser
kommissionen att uppgifter om flygpassagerare som överförs till USA
åtnjuter det ”adekvata skydd” som krävs enligt EU:s dataskyddsdirektiv för
uppgifter som överförs till länder utanför EU. USA:s åtaganden, som
kommissionen det senaste året förhandlat om med USA:s departement för
hemlandets säkerhet, innebär att färre personuppgifter ur flygbolagens
passageraruppgifter samlas in av de amerikanska myndigheterna, att de
lagras under en mycket kortare tid och att de används för mer begränsade
ändamål, främst för vårt gemensamma mål att bekämpa terrorism. Beslutet
kommer att träda i kraft när USA har undertecknat sina åtaganden och när
det internationella avtalet som kompletterar beslutet undertecknats av rådet
och USA.
Frits Bolkestein, ledamot av kommissionen med ansvar för den inre marknaden,
ledde kommissionens sida i förhandlingarna och sade nyligen: “En
förhandlingslösning är aldrig perfekt, särskilt inte när man har att göra med en lag
som antagits av den amerikanska kongressen i det fullt rimliga syftet att USA måste
kunna skydda sig mot terrorism. Men den amerikanska ministern för hemlandets
säkerhet, Tom Ridge, var mycket tillmötesgående, och vi fann en balanserad lösning
som medlemsstaterna stöder. Europaparlamentet har en annan uppfattning, men
kommissionen anser att förhandlingslösningen kommer att förbättra läget för EU:s
medborgare och flygbolag genom att USA ställer omfattande garantier för skydd av
den personliga integriteten och genom att rättssäkerheten ökar. Vi söker inte strid
med parlamentet; de har hjälpt oss att utverka bättre resultat från USA genom de
starka politiska påtryckningar de har utövat sedan mars 2003. Vi gör vad vi tror är
bäst för att säkra de mål vi har arbetat för det senaste året: bättre dataskydd och
större rättssäkerhet för flygbolagen, som enligt amerikansk lag måste lämna de här
uppgifterna, och färre onödiga förseningar för flygpassagerarna. Alternativet hade
inte varit större eftergifter från USA:s sida utan ett oklart rättsläge, och vi hade
kanske till och med riskerat att USA hade dragit tillbaka sina åtaganden om skydd för
de överförda uppgifterna - med andra ord kaos för EU:s passagerare och flygbolag.”
Den amerikanska kongressen antog efter händelserna den 11 september 2001 en
lag om att alla flygbolag som flyger till, från eller genom USA måste ge elektronisk
tillgång till sina register med passageraruppgifter (Passenger Name Records, PNR).
USA gick flera gånger med på att skjuta upp tillämpningen av dessa bestämmelser
på EU-baserade flygbolag, eftersom flygbolagen med stöd av Europeiska
kommissionen fruktade att de kunde strida mot EU:s dataskyddsbestämmelser.
Det amerikanska tullverket sade sig dock vara berett att börja bestraffa flygbolag
som inte lämnade passageraruppgifter efter den 5 mars 2003.
Kommissionen inledde då intensiva förhandlingar med det amerikanska
departementet för hemlandets säkerhet för att se till att PNR-uppgifter som överförs
till USA åtnjuter adekvat skydd i enlighet med EU:s dataskyddsdirektiv. Under tiden
har de flesta av EU:s flygbolag börjat förse USA med PNR-uppgifter enligt lagen.
Kommissionen tillkännagav i december 2003 att den avslutat förhandlingarna med
USA och var beredd att inleda det formella förfarandet för att fatta ett beslut om att
den amerikanska tull- och gränsskyddsmyndigheten ger ett adekvat skydd för
Den
amerikanska
tulloch
personuppgifter
(se
SPEECH/03/613).
gränsskyddsmyndighetens åtaganden utgör en avsevärd förbättring av dataskyddet
jämfört med nuläget:
•
•
•
•
•
•
Färre uppgifter kommer att samlas in och lagras av de amerikanska
myndigheterna. Man har enats om en förteckning med 34 fält (en del flygbolag
har PNR med mer än 60 olika fält) och i de flesta enskilda fall kommer bara en
del av dessa fält att vara ifyllda.
Känsliga uppgifter, t.ex. måltidsbeställningar eller särskilda behov som kan
avslöja exempelvis en passagerares ras, religion eller personliga hälsa,
kommer antingen att inte överföras alls eller filtreras och raderas av den
amerikanska tull- och gränsskyddsmyndigheten.
PNR kommer endast att användas för att bekämpa och förhindra terrorism,
terrorismrelaterade brott och andra grova brott av transnationell karaktär,
inklusive organiserad brottslighet, istället för den mycket vidare polisiära
användning som USA inledningsvis ville ha.
PNR kommer inte att vidarebefordras generellt. Detta löser problemet med
användning av PNR i de generella övervakningssystem som planeras i USA.
Den amerikanska tull- och gränsskyddsmyndigheten kommer att vidarebefordra
uppgifter ur PNR endast i enskilda, begränsade fall och endast för de
överenskomna ändamålen. När uppgifter från EU vidarebefordras under dessa
stränga villkor till polisiära myndigheter utanför USA kommer alltid en
myndighet i EU att underrättas.
De flesta PNR-uppgifter kommer att raderas efter tre och ett halvt år (jämfört
med USA:s ursprungliga önskemål om femtio år). Uppgifter som lästs kommer
att lagras i en särskild fil i ytterligare åtta år för revisionsändamål (i stället för
tills vidare som det ursprungliga förslaget löd).
EU:s dataskyddsmyndigheter kommer att kunna vända sig till den
dataskyddsansvariga vid departementet för hemlandets säkerhet i fall där de
passagerare som klagar på exempelvis att deras personuppgifter missbrukats
eller att de inte kunnat få oriktiga uppgifter rättade inte fått sina klagomål
handlagda på ett tillfredsställande sätt av departementet för hemlandets
säkerhet.
För att se till att åtagandena efterlevs kommer en revision att utföras minst en gång
om året av departementet för hemlandets säkerhet och en grupp från EU under
kommissionens ledning med representanter för medlemsstaternas dataskydds- och
polismyndigheter.
Det paket som de två sidorna enats om innehåller också bestämmelser om
ömsesidighet, när EU eller dess medlemsstater ställer motsvarande krav på PNRuppgifter om flygningar från USA. USA åtar sig också att inte olagligen särbehandla
personer som inte är amerikanska medborgare eller bosatta i USA.
2
Hela paketet gäller i tre och ett halvt år och kommer att löpa ut om inte bägge sidor
enas om att förlänga det.
Det är alltså fråga om en provisorisk lösning, som kommissionen hoppas kommer att
ersättas av internationella standarder inom ramen för Internationella civila
luftfartsorganisationen ICAO. EU tog nyligen initiativ till diskussioner inom ICAO om
användningen av PNR för gränsskydd och flygsäkerhet.
För att det förbättrade dataskyddet och de andra förmånerna skall kunna börja
tillämpas kommer två rättsakter att införas: För det första det beslut som
kommissionen antog, i kraft av sina befogenheter enligt artikel 25.6 i
dataskyddsdirektivet, om fastställande av att den amerikanska tull- och
gränsskyddsmyndigheten, uppgifternas mottagare och “ägare” i USA, tack vare sina
åtaganden ger ett “adekvat skydd” för personuppgifter. För det andra ett bilateralt
internationellt avtal mellan EU och USA som kompletterar beslutet och omfattar
frågor som icke-diskriminering, ömsesidighet och den amerikanska tull- och
gränsskyddsmyndighetens direkta tillgång till flygbolagens databaser så länge som
det inte finns ett EU-system för att överföra uppgifterna. Avtalet innebär också att det
amerikanska kravet att flygbolagen skall tillhandahålla PNR-uppgifter blir en
skyldighet enligt EU:s lagstiftning. Det är en sak för EU:s ministerråd att ingå det
internationella avtalet i enlighet med artikel 300.3 i EG-fördraget. De amerikanska
åtagandena och de förbättringar de innebär kommer att träda i kraft så snart som
beslutet och avtalet är införda.
En klar majoritet av medlemsstaterna stöder kommissionens hållning. Däremot
antog Europaparlamentet den 31 mars 2004 en resolution där man uttryckte att de
amerikanska åtagandena inte innebar ett adekvat skydd och uppmanade
kommissionen att förhandla fram större eftergifter från USA. Parlamentet förbehöll
sig rätten att föra frågan vidare till EG-domstolen om kommissionen gick vidare. Den
21 april beslutade parlamentet dessutom att be domstolen om ett yttrande om
huruvida det internationella avtalet borde ha förelagts parlamentet för godkännande,
då det ansågs innebära en ändring av dataskyddsdirektivet.
Enligt domstolens rättspraxis kommer Europaparlamentets begäran om ett yttrande
inte längre att ha något syfte om rådet ingår avtalet. Parlamentet har emellertid rätt
enligt artikel 230 i EG-fördraget att försöka få avtalet eller beslutet eller bägge
ogiltigförklarade.
Mer information om beslutet finns på webbplatsen Europa:
http://europa.eu.int/comm/internal_market/privacy/adequacy_en.htm#countries
3
