w sprawie stanowiska, jakie ma być zajęte w imieniu Unii Europejskiej na forum Organizacji Międzynarodowego Lotnictwa Cywilnego w odniesieniu do poprawki 28 do załącznika 9 sekcja D do Konwencji o międzynarodowym lotnictwie cywilnym

Opracowanie nowych międzynarodowych norm i zalecanych metod postępowania w zakresie PNR wynika z rezolucji Rady Bezpieczeństwa Organizacji Narodów Zjednoczonych nr 2396 (2017) przyjętej w dniu 21 grudnia 2017 r.. W rezolucji zawarto wymóg, by państwa członkowskie ONZ „rozwijały zdolność gromadzenia, przetwarzania i analizowania – na potrzeby norm i zalecanych metod postępowania ICAO – danych dotyczących przelotu pasażera (danych PNR), a także zapewniały, aby dane te były dostępne dla wszystkich właściwych organów krajowych i przez nie wykorzystywane, przy pełnym poszanowaniu praw człowieka i podstawowych wolności”. W rezolucji tej wzywa się także ICAO do „współpracy z członkami ONZ w celu ustanowienia norm gromadzenia, wykorzystywania, przetwarzania i ochrony danych PNR”.

Dane PNR to dane osobowe pasażerów gromadzone przez linie lotnicze do celów działalności gospodarczej, w przeciwieństwie do innych danych dotyczących podróży, gromadzonych przez nie w imieniu organów państwa, takich jak dane pasażera przekazywane przed podróżą (API). Organy ścigania na całym świecie coraz częściej wykorzystują dane PNR przekazywane im przez linie lotnicze do walki z terroryzmem i innymi formami poważnej przestępczości.

Niniejszy wniosek dotyczy decyzji w sprawie stanowiska, jakie ma być zajęte w imieniu Unii Europejskiej na forum Organizacji Międzynarodowego Lotnictwa Cywilnego (ICAO) w związku z poprawką 28 do załącznika 9 w sprawie ułatwień do Konwencji o międzynarodowym lotnictwie cywilnym („konwencja chicagowska”). Rada Organizacji Międzynarodowego Lotnictwa Cywilnego przyjęła tę poprawkę w dniu 23 czerwca 2020 r.

W dniu 23 czerwca 2020 r., podczas dziesiątego posiedzenia w trakcie swojej 220. sesji Rada ICAO przyjęła poprawkę 28 do załącznika 9 do konwencji chicagowskiej. Jak zauważono powyżej, załącznik 9 określa międzynarodowe standardy dotyczące ułatwień, a jego rozdział 9 sekcja D odnosi się konkretnie do PNR.

W dniu 17 lipca 2020 r. ICAO poinformowała swoje państwa członkowskie o przyjęciu poprawki 28 za pośrednictwem kolejnego pisma skierowanego do państw (EC 6/3-20/71). Poprawka miała wejść w życie w dniu 30 października 2020 r., chyba że większość państw złożyłaby do tego dnia swój sprzeciw zgodnie z art. 90 konwencji chicagowskiej. Poprawkę tę stosuje się od dnia 28 lutego 2021 r. Państwa członkowskie ICAO mogą jednak zawiadomić do dnia 30 stycznia 2020 r. o wszelkich różnicach między krajowymi przepisami i metodami postępowania a przepisami i metodami postępowania zawartymi w normach określonych w poprawce 28, jeżeli uznają, że istnieją pewne różnice między ich krajowymi przepisami lub metodami postępowania a którąkolwiek z norm. Zawiadomienie takie należy złożyć zgodnie z art. 38 konwencji chicagowskiej i stosownym mechanizmem zgłaszania różnic.

2.4.Kwestie dotyczące danych PNR w poprawce 28 do załącznika 9

Jeśli poprawka 28 wejdzie w życie, zastąpi istniejące normy 9.22–9.22.1 i zalecaną metodę postępowania 9.23 nowymi normami i zalecanymi metodami postępowania 9.23–9.38. Te międzynarodowe normy i zalecane metody postępowania są znacznie bardziej szczegółowe niż dotychczasowe ramy prawne i obejmują m.in. kwestie związane z ograniczeniem celu, nadzorem, prawami osób, których dane dotyczą, metodą przekazywania danych, zatrzymywaniem danych, przetwarzaniem danych wrażliwych oraz relacjami między umawiającymi się państwami konwencji chicagowskiej w zakresie przekazywania danych PNR. Niektóre niewiążące wytyczne zawarte w dokumencie ICAO 9944 określającym wytyczne dotyczące danych PNR zostały dostosowane do nowych norm.

Norma 9.23 zobowiązuje umawiające się państwa do rozwijania zdolności gromadzenia, wykorzystywania, przetwarzania i chronienia danych PNR oraz do przełożenia zasad praktycznego wdrażania tej zdolności na odpowiednie wewnętrzne ramy prawne i administracyjne zgodnie z normami i zalecanymi metodami postępowania. Obowiązkowy charakter rozwijania zdolności przetwarzania danych PNR jest zgodny z rezolucją Rady Bezpieczeństwa Organizacji Narodów Zjednoczonych nr 2396 (2017).

Norma 9.24 wymaga od umawiających się państw, przy pełnym poszanowaniu praw człowieka i podstawowych wolności, jasnego określenia danych PNR, które mają być wykorzystywane w ich działaniach, oraz określenia celów, do jakich dane PNR mogą być wykorzystywane przez organy. Cele te nie powinny wykraczać poza to, co jest konieczne, w tym w szczególności cele związane z bezpieczeństwem granic służące zwalczania terroryzmu i poważnej przestępczości. Ponadto ujawnianie danych PNR w państwie przyjmującym lub w innych państwach powinno być ograniczone do właściwych organów, które pełnią odpowiednie funkcje związane z celami, dla których dane PNR są przetwarzane. Organy te powinny również zapewnić ochronę porównywalną z ochroną zapewnianą przez organ ujawniający informacje.

Norma 9.25 ustanawia wymogi dotyczące bezpieczeństwa danych i praw osób fizycznych w związku z przetwarzaniem ich danych PNR, w tym w odniesieniu do niedyskryminacji, dostarczania informacji, administracyjnych i sądowych środków odwoławczych, dostępu do danych oraz możliwości żądania korekty, usunięcia lub zapisania. Zalecana metoda postępowania 26 zachęca państwa do informowania osób fizycznych o przetwarzaniu ich danych PNR oraz o przysługujących im prawach i środkach dochodzenia roszczeń.

Norma 9.27 zobowiązuje umawiające się państwa do opierania automatycznego przetwarzania danych PNR na obiektywnych, precyzyjnych i wiarygodnych kryteriach, które skutecznie wskazują na istnienie ryzyka, nie prowadząc do niezgodnego z prawem zróżnicowania, oraz do powstrzymania się od podejmowania decyzji, które prowadzą do poważnych niekorzystnych działań naruszających interesy prawne osób fizycznych wyłącznie w oparciu o zautomatyzowane przetwarzanie danych PNR.

Zgodnie ze standardem 9.28 państwa są zobowiązane do wyznaczenia co najmniej jednego właściwego organu krajowego uprawnionego do niezależnego nadzoru nad ochroną danych PNR oraz do określania, czy dane PNR są gromadzone, wykorzystywane, przetwarzane i chronione z pełnym poszanowaniem praw człowieka i podstawowych wolności.

Norma 9.29 uniemożliwia państwom wymaganie od linii lotniczych gromadzenia danych PNR, które nie są wymagane w ramach ich zwykłych procedur operacyjnych, lub filtrowania takich danych przed ich przekazaniem. Zakazuje ona również przetwarzania danych wrażliwych, tj. danych PNR ujawniających pochodzenie rasowe lub etniczne osoby fizycznej, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych lub dane dotyczące jej zdrowia, życia seksualnego lub orientacji seksualnej – z wyjątkiem wyjątkowych i natychmiastowych okoliczności mających na celu ochronę żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej. W przypadku gdy takie dane są przekazywane, państwa są zobowiązane do ich usunięcia tak szybko, jak to możliwe.

Norma 9.30 określa obowiązki dotyczące zatrzymywania danych oraz depersonalizacji i repersonalizacji danych PNR, zobowiązując państwa do zatrzymywania danych wyłącznie przez ustalony okres określony w ich ramach prawnych i administracyjnych, który jest okresem koniecznym i proporcjonalnym do celów, do których dane PNR są wykorzystywane, oraz maskowania ich po upływie ustalonego terminu. Po maskowaniu repersonalizacja powinna być możliwa tylko wtedy, gdy dane mają być wykorzystywane w związku z trwającą sprawą, zagrożeniem lub ryzykiem związanym z celami, dla których dane PNR mogą być przetwarzane. W zalecanej metodzie postępowania 9.32 sugeruje się, by dane były zatrzymywane przez okres nie dłuższy niż pięć lat, a w zalecanej metodzie postępowania 9.33 proponuje się, aby dane PNR zostały zdepersonalizowane w ciągu sześciu miesięcy i nie później niż dwa lata od momentu przekazania ich przez linie lotnicze.

Norma 9.33 stanowi, że dane PNR powinny być, co do zasady, przekazywane za pomocą metody „dostarczania” (ang. „push”) w mniejszym stopniu ingerującej w prywatność. Ma ona również na celu zminimalizowanie obciążeń spoczywających na przewoźnikach lotniczych poprzez ograniczenie w pewnych okolicznościach możliwości nakładania przez państwa grzywien za błędy w przesyłaniu danych oraz poprzez zobowiązanie ich do ograniczenia liczby „dostarczeń”.

Norma 9.34 lit. a) zobowiązuje umawiające się państwa do tego, by nie utrudniały ani nie uniemożliwiały przekazywania danych PNR innemu umawiającemu się państwu, które przestrzega nowych norm. Jednocześnie norma 9.34 lit. b) stanowi, że umawiające się państwa ICAO zachowują możliwość wprowadzenia lub utrzymania wyższego poziomu ochrony danych PNR, zgodnie ze swoimi krajowymi ramami prawnymi, oraz zawierania dodatkowych uzgodnień z innymi państwami, w szczególności w celu spełnienia ich wewnętrznych wymogów prawnych, lub ustanawiania bardziej szczegółowych przepisów dotyczących przetwarzania i przekazywania danych PNR, pod warunkiem że środki te nie są sprzeczne z przedmiotowymi normami.

Zgodnie z normą 9.35 umawiające się państwa mogą zostać wezwane, na wniosek innego państwa, do wykazania, że przestrzegają nowych norm. W przypadku gdy umawiające się państwa ustalą, że muszą przeszkodzić w przekazaniu danych PNR lub nałożyć na przewoźnika lotniczego grzywnę, norma 9.36 zobowiązuje je do uczynienia tego w przejrzysty sposób i z zamiarem rozwiązania tej sytuacji.

Zalecana metoda postępowania 9.37 zachęca państwa do powiadamiania innych państw utrzymujących z nimi połączenia lotnicze o wszelkich istotnych zmianach w ich programie PNR, w tym o zgodności z normami i zalecanymi metodami postępowania. Zalecana metoda postępowania 9.38 sugeruje, by przewoźnicy lotniczy nie byli karani przez państwa podczas prób rozstrzygania sporów dotyczących przekazywania danych PNR.

2.5.Obowiązujące unijne ramy prawne

Przetwarzanie danych PNR stanowi istotny instrument wspólnej reakcji UE na zagrożenie terroryzmem i poważną przestępczością; jest także elementem unii bezpieczeństwa. Identyfikowanie i śledzenie podejrzanych schematów podróży dzięki przetwarzaniu danych PNR w celu gromadzenia dowodów oraz, w stosownych przypadkach, wykrywania osób powiązanych z przestępcami i rozpracowywania sieci przestępczych okazało się niezbędne do zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania. Jednocześnie przetwarzanie danych PNR stanowi ingerencję w prawo do prywatności i ochrony danych osobowych zapisane w art. 7 i 8 Karty praw podstawowych Unii Europejskiej („Karta”). Zgodnie z art. 52 ust. 1 Karty jest ono zatem przewidziane ustawą, szanuje istotę odnośnych praw i, z zastrzeżeniem zasady proporcjonalności, jest dozwolone jedynie w zakresie, w jakim jest to konieczne i rzeczywiście odpowiada celom interesu ogólnego uznawanym przez Unię lub potrzebom ochrony praw i wolności innych osób. Jednym z takich celów interesu ogólnego jest ochrona obywateli przed poważnymi zagrożeniami dla bezpieczeństwa.

W dniu 27 kwietnia 2016 r. Parlament Europejski i Rada przyjęły dyrektywę (UE) 2016/681 w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania. Dyrektywa ta umożliwia organom krajowym wymaganie od przewoźników lotniczych przekazywania danych PNR, przy jednoczesnym zapewnieniu ochrony praw osób fizycznych do prywatności i ochrony danych. Termin transpozycji tego aktu prawodawczego do prawa krajowego państw członkowskich upłynął dnia 25 maja 2018 r. Przegląd pierwszych dwóch lat stosowania dyrektywy przeprowadzony w 2020 r. wykazał, że przetwarzanie danych PNR przyniosło wymierne rezultaty w walce z terroryzmem i poważną przestępczością.

Również w kwietniu 2016 r. Parlament Europejski i Rada przyjęły nowe unijne przepisy o ochronie danych: rozporządzenie (UE) 2016/679 (ogólne rozporządzenie o ochronie danych lub RODO) oraz dyrektywę (UE) 2016/680 (w sprawie ochrony danych w dziedzinie ścigania przestępstw). W RODO ustanowiono między innymi przepisy dotyczące międzynarodowego przekazywania danych osobowych, które mają zastosowanie do przekazywania danych PNR przez przewoźników lotniczych. Dyrektywa (UE) 2016/680 reguluje przetwarzanie danych osobowych przez organy ścigania i uzupełnia system przewidziany w dyrektywie (UE) 2016/681 w odniesieniu do takich kwestii jak prawa osób, których dane dotyczą, oraz przekazywanie danych organom ścigania w państwach trzecich w poszczególnych przypadkach.

Obecnie obowiązują dwie umowy międzynarodowe między UE a państwami trzecimi (tj. Australią oraz Stanami Zjednoczonymi) dotyczące przetwarzania i przekazywania danych PNR. W dniu 26 lipca 2017 r. Trybunał Sprawiedliwości Unii Europejskiej wydał opinię (zwaną dalej opinią 1/15) na temat planowanej umowy o przetwarzaniu i przekazywaniu danych PNR między UE a Kanadą, podpisanej w dniu 25 czerwca 2014 r. Trybunał stwierdził, że umowa nie może zostać zawarta w planowanej formie, ponieważ niektóre z jej postanowień są niezgodne z podstawowymi prawami do prywatności i do ochrony danych osobowych chronionymi przez Kartę. W szczególności Trybunał dokonał interpretacji odpowiednich postanowień Karty jako wymagających szczególnych zabezpieczeń dotyczących nadzoru sprawowanego przez niezależny organ, przetwarzania danych wrażliwych, automatycznego przetwarzania danych PNR oraz niedyskryminacji, celów przetwarzania danych PNR oraz warunków ich przechowywania, wykorzystywania, ujawniania i dalszego przekazywania. W następstwie przyjęcia przez Radę w grudniu 2017 r. wytycznych negocjacyjnych Komisja rozpoczęła nowe negocjacje z Kanadą w sprawie PNR w czerwcu 2018 r.