3.

W odniesieniu do ochrony danych osobowych: a) Zgodność z prawem, rzetelność i przejrzystość przetwarzania danych: niezbędna jest podstawa prawna przetwarzania danych osobowych, aby jednostki znały ryzyko, zabezpieczenia i prawa związane z przetwarzaniem ich danych osobowych oraz sposoby wykonywania swoich praw w odniesieniu do przetwarzania tych danych. b) Ograniczenie celu: cele, dla których dane PNR mogą być wykorzystywane przez organy, powinny być jasno określone i nie powinny wykraczać poza to, co jest konieczne do ich osiągnięcia, w szczególności na potrzeby egzekwowania prawa i bezpieczeństwa granic w celu zwalczania terroryzmu i poważnej przestępczości. c) Zakres danych PNR: elementy danych PNR, które mają być przekazywane przez linie lotnicze, powinny być wyraźnie określone i wymienione w sposób wyczerpujący. Wykaz tych elementów powinien być ustandaryzowany w celu zapewnienia, aby dane te były ograniczone do minimum, przy jednoczesnym zapobieganiu przetwarzania danych wrażliwych, w tym danych ujawniających pochodzenie rasowe lub etniczne osoby, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych, stan zdrowia, życie seksualne lub orientację seksualną. d) Wykorzystanie danych PNR: dalsze przetwarzanie danych PNR powinno ograniczać się do celów pierwotnego przekazania, na podstawie obiektywnych kryteriów oraz z zastrzeżeniem materialnych i proceduralnych warunków zgodnych z wymogami mającymi zastosowanie do przekazywania danych osobowych. e) Automatyczne przetwarzanie danych PNR: automatyczne przetwarzanie powinno opierać się na obiektywnych, niedyskryminacyjnych i wiarygodnych, wcześniej ustalonych kryteriach oraz nie powinno być wykorzystywane jako jedyna podstawa decyzji mających negatywne skutki prawne lub poważnie wpływających na daną osobę. f) Zatrzymywanie danych: okres zatrzymywania danych PNR powinien być ograniczony i nie powinien być dłuższy niż jest to konieczne do osiągnięcia pierwotnego celu. Należy zapewnić usunięcie danych zgodnie z wymogami prawnymi kraju pochodzenia. Po upływie okresu zatrzymywania dane PNR powinny zostać usunięte lub zanonimizowane. g) Ujawnianie danych PNR upoważnionym organom: dalsze ujawnianie danych PNR innym organom rządowym w tym samym państwie lub innym państwom członkowskim ICAO w konkretnych przypadkach może mieć miejsce tylko wtedy, gdy organ przyjmujący pełni funkcje związane z walką z terroryzmem lub poważną przestępczością międzynarodową oraz zapewnia taką samą ochronę, jaką zapewnia organ ujawniający dane. h) Bezpieczeństwo danych: należy zastosować odpowiednie środki w celu ochrony bezpieczeństwa, poufności i integralności danych PNR. i) Przejrzystość i powiadamianie: z zastrzeżeniem koniecznych i proporcjonalnych ograniczeń jednostki powinny być powiadamiane o przetwarzaniu ich danych PNR oraz informowane o przysługujących im prawach i środkach dochodzenia roszczeń. j) Dostęp, poprawianie i usuwanie: z zastrzeżeniem koniecznych i proporcjonalnych ograniczeń jednostki powinny mieć prawo dostępu do swoich danych PNR oraz prawo do ich poprawiania. k) Środki dochodzenia roszczeń: jednostki powinny mieć prawo do skutecznych administracyjnych i sądowych środków dochodzenia roszczeń, jeżeli uznają, że ich prawo do prywatności i ochrony danych zostało naruszone. l) Nadzór i odpowiedzialność: organy wykorzystujące dane PNR powinny być odpowiedzialne przed niezależnym organem publicznym i być przez niego nadzorowane; organ ten powinien dysponować skutecznymi uprawnieniami do prowadzenia postępowań wyjaśniających i egzekwowania prawa, a także powinien być w stanie wykonywać swoje zadania w sposób wolny od wszelkich wpływów, w szczególności ze strony organów ścigania.