Po posvetovanju z državami je sekretariat ICAO analiziral prejete odzive držav in predlog predstavil Odboru za zračni prevoz. Predlog sekretariata je bil skoraj enak izidu sestanka odbora za poenostavitve iz januarja 2020. Podobno je Odbor za zračni prevoz na sestanku 19. junija 2019 Svetu ICAO priporočil, naj sprejme standarde in priporočene prakse glede PNR, kot jih je predložil sekretariat, vendar z le manjšimi popravki.

Priprava novih mednarodnih standardov in priporočenih praks (SARP) glede PNR temelji na Resoluciji Varnostnega sveta Združenih narodov 2396 (2017), sprejeti 21. decembra 2017. Resolucija določa, da morajo države članice ZN „razviti zmogljivosti za zbiranje, obdelavo in analizo – z namenom podpore standardom in priporočenim praksam Mednarodne organizacije civilnega letalstva (ICAO) – podatkov iz evidence podatkov o potnikih (PNR) ter zagotoviti, da se podatki iz PNR uporabljajo in delijo z vsemi njihovimi pristojnimi nacionalnimi organi ob polnem spoštovanju človekovih pravic in temeljnih svoboščin“. Prav tako poziva organizacijo ICAO, naj „sodeluje z državami članicami pri oblikovanju standarda za zbiranje, uporabo, obdelavo in varstvo podatkov iz PNR“.

Svet ICAO skliče skupščino, ki je suveren organ organizacije ICAO. Skupščina ICAO se sestane vsaj enkrat na tri leta in določi politično usmeritev Organizacije za naslednje triletno obdobje. 40. zasedanje skupščine ICAO je potekalo od 24. septembra do 4. oktobra 2019 v kanadskem Montrealu.

Obvezne naloge Sveta ICAO, navedene v členu 54 Čikaške konvencije, vključujejo sprejetje mednarodnih standardov in priporočenih praks (s kratico imenovanih SARP) v obliki prilog k Čikaški konvenciji. Standardi so specifikacije, za katere se šteje, da je potrebna enotna uporaba, priporočene prakse pa niso obvezne.

Organizacija ICAO je specializirana agencija Združenih narodov. Cilji organizacije so oblikovati načela in tehnike mednarodne zračne plovbe ter spodbujati načrtovanje in razvoj mednarodnega letalskega prometa.

Podatki iz PNR so osebni podatki potnikov, ki jih letalski prevozniki zberejo za svoje poslovne namene, v nasprotju z drugimi podatki o potovanjih, ki jih zberejo v imenu organov, kot so predhodne informacije o potnikih. Organi preprečevanja, odkrivanja in preiskovanja kaznivih dejanj po vsem svetu vedno bolj uporabljajo podatke iz PNR, ki so jim jih poslale letalske družbe, za boj proti terorizmu in drugim oblikam hudih kaznivih dejanj.

Svet ICAO je 23. junija 2020 na desetem sestanku 220. zasedanja sprejel spremembo 28 Priloge 9 k Čikaški konvenciji. Kot je navedeno zgoraj, Priloga 9 določa mednarodne standarde za poenostavitve, oddelek D poglavja 9 pa se posebej nanaša na PNR.

ICAO je 17. julija 2020 z drugim dopisom (ES 6/3–20/71) svoje države članice obvestil o sprejetju spremembe 28. Sprememba je začela veljati 30. oktobra 2020, razen če večina držav do tega datuma ni uradno sporočila svojega nestrinjanja v skladu s členom 90 Čikaške konvencije. Sprememba se bo uporabljala od 28. februarja 2021. Države članice ICAO pa lahko najpozneje do 30. januarja 2020 priglasijo kakršna koli odstopanja svojih nacionalnih predpisov in praks od zahtev, zapisanih v standardih, določenih s spremembo 28, če menijo, da obstajajo določene razlike med njihovimi nacionalnimi predpisi ali praksami in katerimi koli standardi. Takšno priglasitev je treba predložiti v skladu s členom 38 Čikaške konvencije in veljavnim mehanizmom za vložitev odstopanj.

2.4.Vidiki PNR v spremembi 28 Priloge 9

Če bo sprememba 28 začela veljati, bo nadomestila obstoječe standarde 9.22–9.22.1 in priporočeno prakso 9.23 z novimi standardi in priporočenimi praksam 9.23–9.38. Ti standardi in priporočene prakse so bistveno podrobnejši od obstoječega okvira in med drugim zajemajo vidike, povezane z omejitvijo namena, nadzorom, pravicami posameznikov, na katere se nanašajo osebni podatki, načinom prenosa, hrambo podatkov, obdelavo občutljivih podatkov in odnosom med državami pogodbenicami Čikaške konvencije v zvezi s prenosom podatkov iz PNR. Nekatere nezavezujoče smernice iz dokumenta ICAO 9944, ki določa smernice o podatkih iz PNR, so posodobljene na nove standarde.

Standard 9.23 od držav pogodbenic zahteva, da razvijejo zmožnost zbiranja, uporabe, obdelave in varstva podatkov v PNR ter prenesejo pravila za praktično izvajanje te zmožnosti v ustrezen notranji pravni in upravni okvir v skladu s standardi in priporočenimi praksami. Obveznost razvoja zmožnosti obdelave podatkov iz PNR je v skladu z resolucijo Varnostnega sveta Združenih narodov 2396 (2017).

Standard 9.24 od držav pogodbenic zahteva, da v popolnem spoštovanju človekovih pravic in temeljnih svoboščin jasno opredelijo podatke iz PNR, ki jih bodo uporabljale pri svojih operacijah, in določijo namene, za katere lahko organi uporabljajo podatke iz PNR. Takšni nameni ne bi smeli biti širši, kot je potrebno, vključno zlasti z varovanjem meja za boj proti terorizmu in hudim kaznivim dejanjem. Poleg tega bi moralo biti razkritje podatkov iz PNR znotraj države prejemnice ali v drugih državah članicah omejeno na organe, pristojne za izvajanje ustreznih nalog, povezanih z nameni, za katere se podatki iz PNR obdelujejo. Ti organi bi morali zagotoviti tudi primerljivo varstvo, kot ga zagotavlja organ, ki razkriva informacije.

Standard 9.25 določa zahteve v zvezi z varnostjo podatkov in pravicami posameznikov v zvezi z obdelavo njihovih podatkov iz PNR, vključno z nediskriminacijo, zagotavljanjem informacij, upravnimi in pravnimi sredstvi, dostopom do podatkov in možnostjo zahtevati popravke, izbrise ali zaznamke. Priporočena praksa 26 spodbuja države, naj posameznike obvestijo o obdelavi njihovih podatkov iz PNR ter o pravicah in pravnih sredstvih, ki so jim priznane.

Standard 9.27 od držav pogodbenic zahteva, da avtomatizirana obdelava podatkov iz PNR temelji na objektivnih, natančnih in zanesljivih merilih, ki učinkovito kažejo na obstoj tveganja, ne da bi prišlo do nezakonitega razlikovanja, in se vzdržijo sprejemanja odločitev, ki vodijo v pomembne škodljive ukrepe, ki vplivajo na pravni interes posameznikov, zgolj na podlagi avtomatizirane obdelave podatkov iz PNR.

V skladu s standardom 9.28 morajo države imenovati enega (ali več) pristojnih nacionalnih organov za izvajanje neodvisnega nadzora nad varstvom podatkov iz PNR in določiti, ali se podatki iz PNR zbirajo, uporabljajo, obdelujejo in varujejo s polnim spoštovanjem človekovih pravic in temeljnih svoboščin.

Standard 9.29 državam preprečuje, da od letalskih družb zahtevajo zbiranje podatkov iz PNR, ki niso potrebni kot del njihovih običajnih poslovnih postopkov delovanja, ali filtriranje takih podatkov pred prenosom. Prav tako prepoveduje obdelavo občutljivih podatkov, tj. podatkov iz PNR, ki razkrivajo rasno ali etnično pripadnost posameznika, njegova politična stališča, verska ali filozofska prepričanja, članstvo v sindikatu ali podatke o njegovem zdravju, spolnem življenju ali spolni usmerjenosti, razen v izjemnih in neposrednih okoliščinah za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe. Države članice morajo take podatke v primeru njihovega posredovanja, čim je to izvedljivo, izbrisati.

Standard 9.30 določa obveznosti glede hrambe podatkov ter anonimizacije ter ponovne personalizacije podatkov iz PNR, pri čemer od držav zahteva, da podatke hranijo le za določeno obdobje, kot je določeno v njihovem pravnem in upravnem okviru ter ki je potrebno in sorazmerno za namene, za katere se podatki iz PNR uporabljajo, in jih po določenem časovnem okviru prikrijejo. Po prikrivanju bi lahko bila ponovna personalizacija mogoča le, če se bodo podatki uporabljali v zvezi s primerom v obravnavi, grožnjo ali tveganjem, povezanim z nameni, za katere je mogoče obdelati podatke iz PNR. V Priporočen praksi 9.32 je predlagano najdaljše obdobje hrambe petih let, v Priporočeni praksi 9.33 pa, da se podatki iz PNR anonimizirajo v šestih mesecih in najpozneje v dveh letih od trenutka, ko jih letalski prevozniki prenesejo.

Standard 9.33 določa, da je treba podatke iz PNR praviloma pošiljati z metodo „push“, ki manj posega v zasebnost. Prav tako si prizadeva zmanjšati breme letalskih prevoznikov z omejevanjem možnosti držav, da v določenih okoliščinah naložijo globe za napake pri prenosu, in od njih zahtevajo, da omejijo število opravljenih „push-ev“.

Standard 9.34(a) zahteva, da države pogodbenice ne ovirajo ali preprečijo prenosa podatkov iz PNR v drugo državo pogodbenico, ki je skladna z novimi standardi. Hkrati standard 9.34(b) določa, da imajo države pogodbenice ICAO še naprej možnost, da uvedejo ali ohranijo višjo raven varstva podatkov iz PNR, v skladu s svojim nacionalnim pravnim okvirom, in da sklenejo dodatne ureditve z drugimi državami, zlasti zaradi izpolnjevanja njihovih notranjih pravnih zahtev ali določitve podrobnejših določb v zvezi z obdelavo in prenosom podatkov v PNR, če ti ukrepi niso v nasprotju s standardi.

V skladu s standardom 9.35 so lahko države pogodbenice na zahtevo druge države pozvane, naj dokažejo svojo skladnost z novimi standardi. Ko države pogodbenice določijo, da morajo preprečiti prenos podatkov v PNR ali naložiti globo letalskemu prevozniku, standard 9.36 od njih zahteva, da to storijo pregledno in z namenom, da rešijo zadevo.

Priporočena praksa 9.37 spodbuja države, naj obvestijo druge države, s katerimi vzdržujejo letalski promet, o vseh pomembnih spremembah svojega programa PNR, tudi glede skladnosti s standardi in priporočenimi praksami. V Priporočeni praksi 9.38 je predlagano, da države ne otežujejo dela letalskim prevoznikom, kadar poskušajo rešiti spore v zvezi s prenosom podatkov iz PNR.

2.5.Veljaven pravni okvir EU

Obdelava podatkov iz PNR je bistven instrument skupnega odziva EU na terorizem in huda kazniva dejanja ter eden od gradnikov varnostne unije. Prepoznavanje in odkrivanje sumljivih potovalnih vzorcev na podlagi obdelave podatkov iz PNR za zbiranje dokazov in po potrebi za odkrivanje sostorilcev kaznivih dejanj ter razkrivanje kriminalnih mrež se je izkazalo za bistveno pri preprečevanju, odkrivanju, preiskovanju in pregonu kaznivih dejanj, povezanih s terorizmom in hudimi kaznivimi dejanji. Hkrati obdelava podatkov PNR pomeni poseg v pravice do zasebnosti in varstva osebnih podatkov iz členov 7 in 8 Listine EU o temeljnih pravicah (v nadaljnjem besedilu: Listina). V skladu s členom 52(1) Listine mora biti zato predpisana z zakonom in spoštovati bistveno vsebino zadevnih pravic ter je ob upoštevanju načela sorazmernosti dovoljena le, če je potrebna in dejansko ustreza ciljem splošnega interesa Unije ali če je potrebna zaradi zaščite pravic in svoboščin drugih. Eden od teh ciljev splošnega interesa je zaščita državljanov pred resnimi grožnjami glede varnosti.

Evropski parlament in Svet sta 27. aprila 2016 sprejela Direktivo (EU) 2016/681 o uporabi podatkov iz evidence podatkov o potnikih (PNR) za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj. Ta direktiva nacionalnim organom omogoča, da od letalskih prevoznikov zahtevajo prenos podatkov PNR, hkrati pa zagotavlja zaščitne ukrepe za pravice posameznikov do zasebnosti in varstva podatkov. Rok, do katerega so morale države članice zakonodajo prenesti v nacionalno pravo, je bil 25. maj 2018. Pregled prvih dveh let uporabe direktive, opravljen leta 2020, je pokazal, da je obdelava podatkov iz PNR prinesla oprijemljive rezultate v boju proti terorizmu in hudim kaznivim dejanjem.

Aprila 2016 sta Evropski parlament in Svet sprejela nova pravila EU o varstvu podatkov: Uredba (EU) 2016/679 (Splošna uredba o varstvu podatkov) in Direktiva (EU) 2016/680 (o varstvu podatkov v sektorju kazenskega pregona). Splošna uredba o varstvu podatkov med drugim določa pravila o mednarodnih prenosih osebnih podatkov, ki veljajo za prenos podatkov PNR s strani letalskih prevoznikov. Direktiva (EU) 2016/680 ureja obdelavo osebnih podatkov s strani organov preprečevanja, odkrivanja in preiskovanja kaznivih dejanj in dopolnjuje ureditev na podlagi Direktive (EU) 2016/681 o vidikih, kot so pravice posameznikov, na katere se nanašajo osebni podatki, in prenosih podatkov za vsak primer posebej organom kazenskega pregona v tretjih državah.

Trenutno obstajata dva mednarodna sporazuma med EU in tretjo državo o obdelavi in prenosu podatkov iz PNR (in sicer Avstralijo in Združenimi državami). 26. julija 2017 je Sodišče Evropske unije izdalo mnenje (v nadaljnjem besedilu: Mnenje 1/15) o predvidenem sporazumu o prenosu in obdelavi podatkov iz PNR med EU in Kanado, podpisanim 25. junija 2014. Sodišče je menilo, da sporazuma ni mogoče skleniti v njegovi predvideni obliki, ker so nekatere določbe nezdružljive s temeljnima pravicama do zasebnosti in varstva osebnih podatkov, ki sta zaščiteni z Listino. Sodišče je zlasti razložilo, da ustrezne določbe Listine zahtevajo posebne zaščitne ukrepe glede nadzora s strani neodvisnega organa, obdelave občutljivih podatkov, avtomatizirane obdelave podatkov iz PNR, tj. namenov, za katere se lahko obdelujejo podatki iz PNR, ter hrambe, uporabe, razkritja in nadaljnjega prenosa podatkov iz PNR. Potem ko je Svet decembra 2017 sprejel pogajalske smernice, je Komisija junija 2018 s Kanado začela nova pogajanja o PNR.