Tietosuojatyöryhmä 000345/07/FI WP132 Lausunto 2/2007 matkustajarekisteritietojen (PNR) siirtoa Yhdysvaltojen viranomaisille koskevien tietojen toimittamisesta matkustajille annettu 15. helmikuuta 2007 Työryhmä on perustettu direktiivin 95/46/EY 29 artiklan nojalla. Se on riippumaton eurooppalainen tietosuojaa ja yksityisyyttä käsittelevä neuvoa-antava elin. Sen tehtävät selostetaan direktiivin 95/46/EY 30 artiklassa ja direktiivin 2002/58/EY 15 artiklassa. Euroopan komission oikeus-, vapaus- ja turvallisuusasioiden pääosaston linja C (Yksityisoikeus, perusoikeudet ja kansalaisuus), B-1049 Bryssel, Belgia, toimisto LX-46 01/43, huolehtii työryhmän sihteeristöpalveluista. Verkkosivut: http://ec.europa.eu/justice_home/fsj/privacy/index_en.htm
Tiivistelmä Tämä lausunto ja sen liitteet (usein esitettyjä kysymyksiä sekä mallitiedotteet) on tarkoitettu matkatoimistoille, lentoyhtiöille ja muille organisaatioille, jotka tarjoavat matkustuspalveluja Yhdysvaltoihin ja Yhdysvalloista lentäville matkustajille. Tämä lausunto ja sen liitteet korvaavat edellisen, 30. syyskuuta 2004 annetun lausunnon (WP97). Säännökset, joita sovelletaan matkustajarekisteritietojen (PNR-tietojen) siirtämiseen Yhdysvaltojen viranomaisille, perustuvat EU:n ja Yhdysvaltojen 16. lokakuuta 2006 tekemään väliaikaiseen sopimukseen. Neuvottelut uudesta sopimuksesta on tarkoitus aloittaa vuonna 2007. Matkatoimistojen, lentoyhtiöiden ja muiden organisaatioiden on ilmoitettava matkustajille heidän henkilötietojensa käsittelystä. Tämän lausunnon tarkoituksena on antaa kyseisille toimijoille tietoa ja neuvoja siitä, mitä tietoja matkustajille on ilmoitettava, kenen on annettava tiedot sekä miten ja milloin tiedot toimitetaan. Matkustajille olisi toimitettava tiedot sekä silloin kun he päättävät ostaa lentolipun että silloin kun he saavat vahvistuksen lipusta. Lausunnossa annetaan neuvoja tietojen ilmoittamisesta puhelimitse, henkilökohtaisesti ja Internetin välityksellä. Tietosuojatyöryhmä on laatinut mallitiedotteet, jotka ovat tämän lausunnon liitteenä, jotta organisaatioiden olisi helpompi toimittaa tarvittavat tiedot matkustajille ja jotta tiedot olisivat yhdenmukaiset kaikkialla EU:ssa. Lyhyessä mallitiedotteessa annetaan matkustajille perustietoa henkilötietojen siirrosta Yhdysvaltojen viranomaisille sekä kerrotaan, mistä saa lisätietoa asiasta. Pidempi tiedote on laadittu muotoon usein esitettyjä kysymyksiä, ja siinä on yksityiskohtaisempaa tietoa henkilötietojen käsittelystä. Siinä kuvataan ensin yleisesti matkustajatietoja ja sen jälkeen keskitytään PNR-tietoihin. Tiedotteessa on myös linkki väliaikaiseen sopimukseen ja muihin keskeisiin asiakirjoihin. - 2 -
Lausunto 2/2007 matkustajarekisteritietojen (PNR) siirtoa Yhdysvaltojen viranomaisille koskevien tietojen toimittamisesta matkustajille TIETOSUOJATYÖRYHMÄ, JOKA on perustettu 24 päivänä lokakuuta 1995 annetulla Euroopan parlamentin ja neuvoston direktiivillä 95/46/EY 1, ottaa huomioon edellä mainitun direktiivin 29 artiklan ja 30 artiklan 1 kohdan a alakohdan ja 3 kohdan, ottaa huomioon työjärjestyksensä ja erityisesti sen 12 ja 14 artiklan, on antanut seuraavan lausunnon: JOHDANTO Syyskuun 11. päivän 2001 terrori-iskujen jälkeen Yhdysvallat antoi useita lakeja ja asetuksia, joissa vaaditaan Yhdysvaltojen alueelle lentäviä lentoyhtiöitä toimittamaan maan viranomaisille kaikkien Yhdysvaltoihin, Yhdysvalloista tai Yhdysvaltojen kautta lentävien matkustajien ja miehistön jäsenten henkilötiedot. Lisäksi Yhdysvaltojen viranomaiset velvoittivat lentoyhtiöt antamaan Yhdysvaltojen sisäisen turvallisuuden ministeriölle (DHS) pääsyn sähköisiin matkustajatietoihin, jotka sisältyvät matkustajarekisteritietoihin (PNR), kaikkien Yhdysvaltoihin saapuvien, sieltä lähtevien tai Yhdysvaltojen kautta kulkevien lentojen osalta. Lentoyhtiöille, jotka eivät noudata vaatimuksia, voidaan määrätä suuret sakot tai ne voivat jopa menettää oikeutensa laskeutua Yhdysvaltoihin. Lisäksi niiden matkustajille aiheutuu viivästyksiä Yhdysvaltoihin saavuttaessa. EU:n oikeudellinen kehys, jonka nojalla lentoyhtiöt voivat siirtää PNR-tietoja, otettiin käyttöön Euroopan komission 14. toukokuuta 2004 tekemällä päätöksellä. Lisäksi Euroopan unioni ja Yhdysvallat tekivät 28. toukokuuta 2004 asiasta kansainvälisen sopimuksen. Sen jälkeen kun Euroopan yhteisöjen tuomioistuin vuonna 2006 kumosi mainitut asiakirjat, oikeusperustana on käytetty Euroopan unionin ja Amerikan yhdysvaltojen 16. lokakuuta 2006 tekemää kansainvälistä sopimusta 2. Kansainvälisen sopimuksen tarkoituksena ei ole poiketa Euroopan unionin tai sen jäsenvaltioiden lainsäädännöstä tai muuttaa sitä. Erityisesti tietosuojadirektiivin 10 ja 11 artiklassa velvoitetaan jäsenvaltiot varmistamaan, että rekisterinpitäjä ilmoittaa rekisteröidylle, miten häntä koskevia tietoja on tarkoitus käsitellä. Rekisterinpitäjän 1 2 EYVL L 281, 23.11.1995, s. 31, saatavissa osoitteesta http://europa.eu.int/comm/internal_market/en/media/dataprot/index.htm Kaikki asiakirjat löytyvät sivustolta http://ec.europa.eu/justice_home/fsj/privacy/thridcountries/index_en.htm - 3 -
velvollisuus ilmoittaa rekisteröidyille tietojen käsittelystä perustuu siis kansalliseen lainsäädäntöön, joka on annettu direktiivin nojalla. Tietosuojatyöryhmä on tietoinen siitä, että velvollisuus ilmoittaa rekisteröidylle koskee rekisterinpitäjiä, joiden tulisi noudattaa velvoitetta asianmukaisen kansallisen lainsäädännön mukaisesti. Koska Yhdysvaltojen vaatimus saada PNR-tiedot vaikuttaa samalla tavalla kaikkiin lentoyhtiöihin, tietosuojatyöryhmä katsoo, että matkustajille toimitettavien tietojen sisällöstä sekä tietojen toimittamisen ajankohdasta ja tavasta olisi sovittava EU:ssa yhteisesti. Sitä varten tietosuojatyöryhmä hyväksyi 30. syyskuuta 2004 antamassaan lausunnossa (WP97) mallitiedotteet, joista selviää, millaisia tietoja EU:n ja Yhdysvaltojen välillä lentäville matkustajille olisi annettava. Tietosuojatyöryhmä katsoo, että matkustajille ilmoitettavia tietoja olisi nyt tarkasteltava uudelleen kahdesta syystä. Ensinnäkin vuonna 2004 laadittuja tiedotteita olisi päivitettävä sen jälkeen tapahtuneiden muutosten huomioon ottamiseksi. Toiseksi lentoyhtiöt, matkatoimistot ja tietokonepohjaiset paikanvarausjärjestelmät eivät vieläkään toimita Atlantin ylittävien lentojen matkustajille johdonmukaisesti riittävää tietoa siitä, miten heidän matkustajarekisteritietojaan kerätään ja minne niitä siirretään. Tämän ongelman ratkaisemiseksi tietosuojatyöryhmä aikoo antaa tässä lausunnossa ohjeita siitä, miten mainitut tiedot olisi ilmoitettava. KUKA ON VASTUUSSA TIEDOTTAMISESTA? Direktiivissä säädetään, että rekisteröidyille tiedottaminen on rekisterinpitäjän vastuulla. PNR-tietojen osalta rekisterinpitäjäksi voidaan katsoa yksi tai useampi lentoyhtiö. Tiedottamisvelvollisuus koskee myös matkatoimistoja ja tietokonepohjaisia paikanvarausjärjestelmiä, kuten jäljempänä kuvataan. Lentoyhtiöt Lentoyhtiöt keräävät ja käsittelevät tietoa matkustajista voidakseen toteuttaa sitoumuksensa kuljettaa matkustajat määränpäähän. Lentoyhtiöt itse päättävät, miten ja missä tarkoituksessa henkilötietoja käsitellään, minkä vuoksi ne katsotaan rekisterinpitäjäksi. Siksi tietosuojatyöryhmä katsoo, että matkustajille tiedottaminen on ensisijaisesti lentolipun myyvän lentoyhtiön vastuulla. Kun on kyse yhteistunnuksen käytöstä eli kun asiakas on alun perin ostanut lennon yhdeltä lentoyhtiöltä mutta lennon operoi toinen lentoyhtiö, tietoja käsittelee useampi lentoyhtiö. Tällaisessa tapauksessa tietosuojatyöryhmä katsoo, että varauksen alun perin tehnyt ja lentolipun myynyt lentoyhtiö määrittää, miten ja missä tarkoituksessa tietoja käsitellään. Sen vuoksi se on rekisterinpitäjä, jonka vastuulla on toimittaa tarvittavat tiedot matkustajille. Matkatoimistot Jäsenvaltioiden kauppaoikeuden mukaan matkatoimistoja ei välttämättä katsota lentoyhtiöiden edustajiksi vaan pikemminkin matkustajan ja lentoyhtiön välissä toimiviksi välittäjiksi. Tällainen välitystoiminta kuitenkin edellyttää, että matkustajalle on annettava tarkat, selkeät ja täydelliset tiedot sopimuksen ehdoista. Tämä käsittää myös tiedot siitä, miten Yhdysvaltojen viranomaiset käsittelevät matkustajatietoja. Tietosuojasääntöjen soveltamisen varmistamiseksi rekisterinpitäjän olisi annettava nämä tiedot matkustajalle ennen lipun hankkimista. Jos matkustaja ostaa lipun - 4 -
matkatoimistosta, toimistolla on velvollisuus ilmoittaa matkustajalle mainitut tiedot, sillä sen katsotaan toimivan lentoyhtiön puolesta. Sen vuoksi matkatoimisto on vastuussa siitä, että lentoyhtiö voi noudattaa sille asetettua velvoitetta. Tietosuojatyöryhmä siis katsoo, että silloin kun lentolippu ostetaan matkatoimistosta, matkatoimiston olisi toimitettava tarvittavat tiedot matkustajalle. Tietokonepohjaiset paikanvarausjärjestelmät Joissakin tapauksissa matkustajat varaavat lennot tietokonepohjaisten paikanvarausjärjestelmien, kuten Amadeuksen välityksellä. Näihin järjestelmiin sovelletaan samoja perusteluja kuin matkatoimistoihin. Sen vuoksi myös tietokonepohjaisissa paikanvarausjärjestelmissä on Atlantin ylittäviä lentoja varaaville matkustajille ilmoitettava heidän PNR-tietojensa keräämisestä ja siirrosta. MILLOIN TIEDOT OLISI TOIMITETTAVA? Tietosuojatyöryhmä katsoo, että tiedot olisi toimitettava matkustajille viimeistään silloin kun he sitoutuvat ostamaan lentolipun. Tämä vastaa direktiivin 6 artiklassa säädettyä yleisperiaatetta, jonka mukaan tietoja olisi käsiteltävä asianmukaisesti ja laillisesti. Sama asianmukaisuuden vaatimus esiintyy 10 ja 11 artiklassa, joissa viitataan tietoihin, jotka ovat tarpeen ottaen huomioon erityiset olosuhteet, joissa tiedot [kerätään tai niitä käsitellään], rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn takaamiseksi. Vaikka PNR-tietojen siirrosta on käytännössä tullut ehto Yhdysvaltoihin matkustamiselle, matkustajat ovat tietoisia tietojen siirron vaikutuksista heidän omien henkilötietojensa käsittelyyn vain sillä edellytyksellä, että heille tiedotetaan asiasta ennen lentolipun ostamista. Se, että tiedot siirretään Yhdysvaltojen viranomaisille ja että tietoja käytetään ja annetaan eteenpäin muussa tarkoituksessa kuin ne alun perin kerättiin ja että tietoja säilytetään pitkiä aikoja, on keskeinen osa lentoyhtiön kanssa tehtävää sopimusta, erityisesti koska tietojen siirtäminen vaikuttaa matkustajien yksityisyyttä koskevaan perusoikeuteen. Myös hyvä sopimustapa edellyttää, että matkustajille kerrotaan asiasta ennen sopimuksen tekemistä. Tiedot olisi annettava myös lipun ostamisen jälkeen esimerkiksi sisällyttämällä ne lentovarauksen vahvistavaan viestiin tai toimittamalla lipun mukana asiaa koskeva tiedote. Tämä on tarpeen sen varmistamiseksi, että matkustaja saa tiedot myös niissä tapauksissa, joissa varauksen on tehnyt hänen nimellään joku kolmas henkilö (esimerkiksi sihteeri). MITÄ TIETOJA OLISI ANNETTAVA? Direktiivin 10 ja 11 artiklan mukaan tietoihin olisi sisällytettävä rekisterinpitäjän henkilöllisyys, tietojenkäsittelyn tarkoitukset ja kaikenlaiset lisätiedot siltä osin kuin nämä lisätiedot ovat tarpeen ottaen huomioon erityiset olosuhteet, joissa tiedot kerätään, rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn takaamiseksi. Samoin kuin tiedottamisvelvollisuus, tietojen sisällön määrittäminen kuuluu ensisijaisesti rekisterinpitäjänä toimivien lentoyhtiöiden vastuulle, sanotun kuitenkaan rajoittamatta direktiivin 10 ja 11 artiklan täytäntöönpanemiseksi annettua kansallista lainsäädäntöä - 5 -
sekä tietosuojaviranomaisille annettuja valtuuksia täsmentää tiedottamisvelvoitetta koskevia edellytyksiä. Jotta kaikkialla EU:ssa toimittaisiin samalla tavalla, tietosuojatyöryhmä on laatinut matkustajille tarkoitetut mallitiedotteet, jotka ovat tämän lausunnon liitteenä. Tiedotteista lentoyhtiöt näkevät, millaisia tietoja niiden olisi annettava matkustajille täyttääkseen velvoitteet, jotka perustuvat direktiivin täytäntöönpanemiseksi annettuun kansalliseen lainsäädäntöön. Tämä uusi versio korvaa tietosuojatyöryhmän 30. syyskuuta 2004 antamassa lausunnossa WP97 olevat tiedotteet. Matkustajille jaettavasta tiedotteesta on kaksi eri versiota. Lyhyessä tiedotteessa annetaan matkustajille perustiedot PNR-tietojen siirrosta Yhdysvaltojen viranomaisille sekä mahdollisuus saada lisätietoa matkustajatietojen käsittelystä ja siihen sovellettavista ehdoista. Lyhyttä tiedotetta voidaan käyttää esimerkiksi silloin kun matkustaja varaa lentoliput puhelimitse. Pidempi tiedote on laadittu muotoon usein esitettyjä kysymyksiä ja siinä on yksityiskohtaisempaa tietoa henkilötietojen käsittelystä. Sitä voidaan käyttää esimerkiksi silloin kun matkustaja varaa lentolipun Internetissä, lentoyhtiön toimistossa tai matkatoimistossa. Siltä varalta, että matkustajat haluavat saada lisätietoa heitä koskevien tietojen siirtämisestä Yhdysvaltojen viranomaisille, tiedotteessa on linkki PNRsitoumuksiin ja kansainväliseen sopimukseen. Lisäksi tiedotteessa neuvotaan matkustajia ottamaan yhteyttä lentoyhtiöön, jos he haluavat lisää tietoa siitä, miten lentoyhtiöt käsittelevät matkustajien henkilötietoja. Kummankin tiedotteen sisällöstä on päätetty niiden tietojen pohjalta, joita Yhdysvaltojen viranomaiset ovat toimittaneet tietosuojatyöryhmälle ja Euroopan komissiolle. Erityisesti on hyödynnetty Yhdysvaltojen 11. toukokuuta 2004 antamia sitoumuksia. EU:n ja Yhdysvaltojen 16. lokakuuta 2006 tekemä kansainvälinen sopimus perustuu siihen, että Yhdysvaltojen viranomaiset noudattavat jatkossakin näitä sitoumuksia. Tiedotteiden tarkoituksena on antaa matkustajille mahdollisimman kattava ja tarkka kuva siitä, miten Yhdysvaltojen viranomaiset käsittelevät PNR-tietoja. Tiedotteita on mahdollisesti päivitettävä myöhemmin, jos Yhdysvaltojen viranomaiset ilmoittavat tietosuojatyöryhmälle ja Euroopan komissiolle muutoksista PNR-tietojen käsittelyssä. Mallitiedotteet eivät kuitenkaan vapauta lentoyhtiöitä velvoitteesta antaa matkustajille vielä tarkempia ja täydellisempiä tietoja, jos heillä on tällaisia hallussaan. MITEN TIEDOT OLISI TOIMITETTAVA? Päätöksen tietojen toimitustavasta tekevät ne tahot, joita ilmoitusvelvollisuus koskee. Tällä tarkoitetaan lentoyhtiöitä, matkatoimistoja ja tietokonepohjaisia paikanvarausjärjestelmiä. Joka tapauksessa tiedot on toimitettava siten, että matkustajat ovat varmasti täysin tietoisia siitä, että heidän PNR-tietojaan kerätään ja siirretään Yhdysvaltojen viranomaisille. Tukeakseen kansallisesta lainsäädännöstä johtuvien velvoitteiden noudattamista tietosuojatyöryhmä haluaa antaa seuraavat neuvot. Jos varaus tehdään matkatoimistossa - 6 -
Matkatoimistojen olisi annettava matkustajille paperikopio ainakin lyhyestä tiedotteesta. Jos matkustajat pyytävät lisätietoa PNR-tietojen siirtämisestä, matkatoimistojen olisi annettava heille paperikopio pidemmästä tiedotteesta. Jos varaus tehdään puhelimitse Lyhyt tiedote olisi luettava ääneen matkustajille. Jos he pyytävät lisätietoja, lentoyhtiön, matkatoimiston tai tietokonepohjaisen paikanvarausjärjestelmän olisi kerrottava, mistä matkustaja voi saada pitkän tiedotteen (esimerkiksi verkkosivuilta tai pyytämällä, että tiedote postitetaan hänelle kotiin). Jos varaus tehdään Internetissä Tämän varaustavan kohdalla on useita mahdollisia tapoja. Lyhyt tiedote olisi toimitettava matkustajille automaattisesti ilman, että heidän tarvitsee etsiä sitä. Tämä voidaan tehdä esimerkiksi laittamalla tiedote esille sen verkkosivun yläosaan, jossa matkustajia pyydetään ilmoittamaan henkilötietonsa, tai jollakin muulla tavalla, kuten käyttämällä ponnahdusikkunoita. Kansallisen tietosuojalainsäädännön velvoitteiden täyttämiseksi ei kuitenkaan riitä, että tiedote on saatavilla jollakin verkkosivulla, johon pääsee ainoastaan erillisellä toiminnolla (esimerkiksi klikkaamalla linkkiä), tai että tiedote on sisällytetty tietosuojaa koskevaan yleiseen osioon. Toisaalta pitkä tiedote voidaan laittaa saataville sellaiseen paikkaan, johon matkustaja pääsee käsiksi erillisellä toiminnolla, kuten klikkaamalla linkkiä. Tällainen linkki olisi sisällytettävä lyhyeen tiedotteeseen. Vähimmäisvaatimus on, että pitkä tiedote olisi verkkosivustolla yhtä näkyvällä ja helposti saatavalla paikalla kuin yleiset maksu- ja matkaehdot. Direktiivin 30 artiklan 1 kohdan a alakohdan mukaisesti ja direktiivin täytäntöönpanoa koskevan kansallisen tietosuojalainsäädännön yhdenmukaisen soveltamisen edistämiseksi jäsenvaltioiden tietosuojaviranomaisten on kannustettava asianomaisia tahoja käyttämään näitä tiedotteita. Lisäksi viranomaiset valvovat sitä, ovatko lentoyhtiöt, matkatoimistot ja tietokonepohjaiset paikanvarausjärjestelmät noudattaneet velvoitetta ilmoittaa Atlantin ylittävien lentojen matkustajille PNR-tietojen keräämisestä ja käsittelystä. Tehty Brysselissä 15. helmikuuta 2007 Tietosuojatyöryhmän puolesta Puheenjohtaja Peter Schaar - 7 -
-- 1