Stálým orgánem této organizace je Rada ICAO, jejímiž členy je 36 smluvních států zvolených Shromážděním ICAO na období tří let. V období 2019–2022 je v Radě ICAO zastoupeno sedm jejích členských států EU.

Dne 23. června 2020 přijala Rada ICAO na desáté schůzi svého 220. zasedání změnu 28 přílohy 9 Chicagské úmluvy. Jak bylo uvedeno výše, příloha 9 stanoví mezinárodní standardy pro zjednodušení formalit v letecké dopravě a oddíl D hlavy 9 se týká konkrétně PNR.

Dne 17. července 2020 informovala ICAO své členské státy prostřednictvím dalšího dopisu státům (EC 6/3-20/71) o přijetí změny 28. Změna vstoupila v platnost dne 30. října 2020 pokud většina států nevyjádří v souladu s článkem 90 Chicagské úmluvy do uvedeného dne svůj nesouhlas. Změna bude použitelná od 28. února 2021. Do 30. ledna 2020 však mohou členské státy ICAO oznámit jakékoli rozdíly mezi svými vnitrostátními předpisy a postupy a těmi, které jsou zakotveny ve standardech stanovených změnou 28, pokud se domnívají, že mezi jejich vnitrostátními předpisy nebo postupy a kterýmkoli z těchto standardů existují určité rozdíly. Toto oznámení musí být podáno v souladu s článkem 38 Chicagské úmluvy a použitelným mechanismem pro oznamování rozdílů.

2.4Aspekty změny 28 přílohy 9 související s PNR

Pokud změna 28 vstoupí v platnost, nahradí stávající standardy 9.22–9.22.1 a doporučený postup 9.23 novými standardy 9.23–9.38. Tyto standardy a doporučené postupy jsou mnohem podrobnější než stávající rámec a zahrnují mimo jiné aspekty související s účelovým omezením, dohledem, právy subjektu údajů, způsobem předávání, uchováváním údajů, zpracováním citlivých údajů a se vztahem mezi smluvními státy Chicagské úmluvy týkajícím se předávání údajů PNR. Některé z nezávazných pokynů uvedených v dokumentu ICAO 9944, který stanoví pokyny k údajům PNR, byly povýšeny na nové standardy.

Standard 9.23 vyžaduje, aby smluvní státy rozvíjely schopnost shromažďovat, používat, zpracovávat a chránit PNR a převáděly pravidla pro praktické provádění této schopnosti do vhodného vnitrostátního právního a správního rámce v souladu se standardy a doporučenými postupy. Závazná povaha rozvoje schopností zpracování údajů PNR je v souladu s rezolucí Rady bezpečnosti OSN 2396 (2017).

Standard 9.24 vyžaduje, aby smluvní státy v plném souladu s lidskými právy a základními svobodami jasně určily, které údaje PNR mají být používány při jejich činnostech, a stanovily účely, pro které mohou orgány údaje PNR používat. Tyto účely by neměly být širší, než je nezbytné, zejména pokud jde o zajištění bezpečnosti hranic za účelem boje proti terorismu a závažné trestné činnosti. Zpřístupnění údajů PNR v přijímajícím státě nebo v jiných státech by navíc mělo být omezeno na příslušné orgány, jež vykonávají relevantní funkce související s účely, pro které jsou údaje PNR zpracovávány. Tyto orgány by rovněž měly zajistit ochranu srovnatelnou s ochranou poskytovanou orgánem, který informace zpřístupnil.

Standard 9.25 stanoví požadavky týkající se zabezpečení údajů a práv jednotlivců v souvislosti se zpracováním jejich údajů PNR, včetně pokud jde o zákaz diskriminace, poskytování informací, správní a soudní ochranu, přístup k údajům a možnost požadovat opravy, výmazy nebo zápisy. Doporučený postup 26 vyzývá státy, aby informovaly jednotlivce o zpracování jejich údajů PNR a o právech a procesních prostředcích, které mají k dispozici.

Standard 9.27 požaduje, aby smluvní státy automatizované zpracování údajů PNR založily na objektivních, přesných a spolehlivých kritériích, která účinně vyznačí existenci rizika, aniž by to vedlo k protiprávnímu rozlišování, a zdržely se přijímání rozhodnutí založených výhradně na automatizovaném zpracování údajů PNR, která povedou k významným nepříznivým opatřením, jimiž je dotčen zákonný zájem jednotlivců.

Podle standardu 9.28 jsou státy povinny určit jeden příslušný vnitrostátní orgán (nebo několik příslušných vnitrostátních orgánů) s pravomocí provádět nezávislý dohled nad ochranou údajů PNR a určit, zda jsou údaje PNR shromažďovány, používány, zpracovávány a chráněny při plném dodržování lidských práv a základních svobod.

Standard 9.29 brání státům, aby od leteckých společností vyžadovaly, aby shromažďovaly údaje PNR, které nejsou požadovány v rámci jejich běžných obchodních provozních postupů, nebo aby tyto údaje před přenosem filtrovaly. Zakazuje rovněž zpracování citlivých údajů – tj. údajů PNR, které odhalují rasový nebo etnický původ, politické názory, náboženské nebo filozofické přesvědčení jednotlivce či jeho členství v odborech nebo údaje týkající se jeho zdraví, sexuálního života nebo sexuální orientace – s výjimkou za mimořádných a bezodkladných okolností za účelem ochrany životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby. V případě přenosu takových údajů jsou státy povinny je co nejdříve vymazat.

Standard 9.30 stanoví povinnosti týkající se uchovávání údajů a depersonalizace a repersonalizace údajů PNR, jež požadují, aby státy údaje uchovávaly pouze po stanovenou dobu, jak je vymezena v jejich právním a správním rámci, což je doba nezbytná a přiměřená pro účely, pro které jsou údaje PNR používány, a po stanovené lhůtě je zamaskovaly. Po zamaskování by měla být repersonalizace možná pouze tehdy, mají-li být údaje použity v souvislosti s probíhajícím případem, hrozbou nebo rizikem souvisejícím s účely, pro které mohou být údaje PNR zpracovávány. Doporučený postup 9.32 doporučuje maximální dobu uchovávání údajů v délce pěti let a doporučený postup 9.33 navrhuje, aby údaje PNR byly depersonalizovány do šesti měsíců a nejpozději dva roky od okamžiku, kdy jsou předány leteckými společnostmi.

Standard 9.33 stanoví, že údaje PNR by měly být zpravidla předávány metodou push, která méně narušuje soukromí. Usiluje rovněž o minimalizaci zátěže leteckých dopravců tím, že za určitých okolností omezuje možnost států ukládat pokuty za chyby v přenosu a požaduje od států, aby omezily počet časů dodávání metodou push.

Standard 9.34(a) požaduje, aby smluvní státy neomezovaly předávání údajů PNR jinému smluvnímu státu, který dodržuje nové standardy, ani mu nebránily. Standard 9.34(b) zároveň stanoví, že si smluvní státy ICAO ponechají možnost zavádět nebo zachovat vyšší úroveň ochrany údajů PNR v souladu s jejich vnitrostátním právním rámcem a uzavírat další ujednání s jinými státy, zejména s cílem splnit své vnitrostátní právní požadavky, nebo zavádět podrobnější ustanovení týkající se zpracování a předávání údajů PNR, pokud tato opatření nejsou jinak v rozporu se standardy.

Podle standardu 9.35 mohou být smluvní státy vyzvány, aby na žádost jiného státu prokázaly, že splňují nové standardy. Pokud smluvní státy shledají, že musí zabránit předání údajů PNR nebo pokutovat leteckého dopravce, požaduje standard 9.36, aby tak učinily transparentním způsobem a se záměrem situaci vyřešit.

Doporučený postup 9.37 vybízí státy, aby informovaly ostatní státy, které s nimi udržují leteckou dopravu, o všech významných změnách svého programu PNR, a to i pokud jde o dodržování standardů a doporučených postupů. Doporučený postup 9.38 navrhuje, aby letečtí dopravci nebyli sankcionováni státy, dokud se pokoušejí řešit spory týkající se předávání údajů PNR.

2.5Použitelný právní rámec EU

Zpracování údajů jmenné evidence cestujících je základním nástrojem společné reakce EU na terorismus a závažnou trestnou činnost, jakož i stavebním kamenem bezpečnostní unie. Zjišťování a odhalování podezřelých modelů cestování zpracováním údajů PNR za účelem shromáždění důkazů a případně nalezení osob spojených s pachateli trestných činů a odhalení zločineckých sítí se prokázalo zásadním pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažných trestných činů. Zpracování údajů PNR představuje zároveň zásah do práv na soukromí a ochranu osobních údajů zakotvených v článcích 7 a 8 Listiny základních práv EU (dále též jen „listina“). V souladu s čl. 52 odst. 1 listiny proto musí být stanoveno zákonem, respektovat podstatu dotčených práv a při dodržení zásady proporcionality musí být povoleno pouze tehdy, je-li to nezbytné a skutečně odpovídá cíli obecného zájmu Unie nebo potřebě ochrany práv a svobod druhého. Jedním z takových cílů obecného zájmu je ochrana občanů před závažnými bezpečnostními hrozbami.

Dne 27. dubna 2016 přijaly Evropský parlament a Rada směrnici (EU) 2016/681 o používání údajů jmenné evidence cestujících (PNR) pro prevenci, odhalování, vyšetřování a stíhání teroristických trestných činů a závažné trestné činnosti. Tato směrnice umožňuje vnitrostátním orgánům požadovat, aby letečtí dopravci předávali údaje PNR, a zároveň poskytuje záruky práv jednotlivců na soukromí a ochranu údajů. Členské státy měly na provedení těchto právních předpisů ve vnitrostátním právu lhůtu do 25. května 2018. Přezkum prvních dvou let uplatňování směrnice, který byl proveden v roce 2020, ukázal, že zpracovávání údajů jmenné evidence cestujících mělo hmatatelné výsledky v boji proti terorismu a závažné trestné činnosti.

V dubnu 2016 přijaly Evropský parlament a Rada také nová pravidla EU na ochranu údajů: nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů neboli GDPR) a směrnici (EU) 2016/680 (o ochraně údajů v oblasti vymáhání práva). Nařízení GDPR stanoví mimo jiné pravidla pro mezinárodní předávání osobních údajů, která se vztahují na předávání údajů PNR leteckými dopravci. Směrnice (EU) 2016/680 upravuje zpracovávání osobních údajů donucovacími orgány a doplňuje režim směrnice (EU) 2016/681 o aspekty, jako jsou práva subjektu údajů a předávání údajů v jednotlivých případech donucovacím orgánům ve třetích zemích.

V současné době jsou zavedeny dvě mezinárodní dohody mezi EU a třetími zeměmi (jmenovitě Austrálií a USA) o zpracování a předávání údajů PNR. Dne 26. července 2017 vydal Soudní dvůr Evropské unie stanovisko (dále jen „stanovisko 1/15“) k předpokládané dohodě o předávání a zpracovávání údajů PNR mezi EU a Kanadou podepsané dne 25. června 2014. Soudní dvůr shledal, že dohodu v její zamýšlené podobě nelze uzavřít, neboť některá její ustanovení jsou neslučitelná se základními právy na soukromí a ochranu osobních údajů chráněnými listinou. Soudní dvůr zejména vyložil příslušná ustanovení listiny tak, že vyžadují zvláštní záruky týkající se dohledu ze strany nezávislého orgánu, zpracování citlivých údajů, automatizovaného zpracování údajů PNR a zákazu diskriminace, účelů, pro něž lze údaje PNR zpracovávat, a uchovávání, používání, zveřejňování a dalšího předávání údajů PNR. V návaznosti na přijetí směrnic pro jednání Radou v prosinci 2017 zahájila Komise v červnu 2018 s Kanadou nová jednání o PNR.