Projekt ustawy zwiększającej bezpieczeństwo pasażerów linii lotniczych

16.4.2018

Do Sejmu trafił rządowy projekt ustawy o przetwarzaniu danych dotyczących przelotu pasażera, przygotowany przez ministra spraw wewnętrznych i administracji.

Czemu mają służyć zmiany?

Wprowadzenie w życie nowych przepisów ma na celu przede wszystkim zagwarantowanie pasażerom bezpieczeństwa podróży. Przekazywane dane pozwolą m.in. na przeciwdziałanie zagrożeniom terrorystycznym i ściganie sprawców innych przestępstw, ułatwią także współpracę państw UE w tym zakresie. Ustawa ma na celu dostosowanie krajowych przepisów do regulacji wspólnotowych – tj. dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r. w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania (Dz. Urz. UE L 132 z dn. 04.05.2016 r., s. 119).

Dyrektywa nakłada na państwa członkowskie obowiązek wprowadzenia regulacji do 25 maja 2018 r. Swój system automatycznego zbierania i przekazywania danych mają już Wielka Brytania, Belgia, Dania, Francja, Holandia i Szwecja.

Wdrażana dyrektywa określa zasady przekazywania przez przewoźników lotniczych danych dotyczących przelotu pasażera (zwanych dalej ,,danymi PNR”), przetwarzanie tych danych przez państwa członkowskie oraz wymianę tych danych między państwami członkowskimi w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości oraz ich wykrywania, prowadzenia postepowań przygotowawczych w ich sprawie i ich ścigania.
W wyniku transpozycji dyrektywy ustanowiony zostanie na terytorium Rzeczypospolitej Polskiej system gromadzenia i przetwarzania danych PNR w celu określonym w dyrektywie.

Wdrożenie dyrektywy do polskiego porządku prawnego wymaga:

nałożenia na przewoźników lotniczych obowiązku przekazywania gromadzonych danych PNR,
ustanowienia Krajowej Jednostki do spraw Informacji o Pasażerach (zwanej dalej ,,JIP”) odpowiedzialnej za gromadzenie i przetwarzanie uzyskanych od przewoźników danych PNR,
określenia zasad przetwarzania danych PNR przez JIP,
uregulowania kwestii ochrony przetwarzanych danych osobowych,
określenia krajowych organów właściwych do wnioskowania lub otrzymywania danych PNR,
uregulowania zasad współpracy międzynarodowej w zakresie wymiany danych PNR,
ustanowienia administracyjnych kar pieniężnych za niewywiązywanie się przez przewoźników lotniczych z obowiązku dotyczącego przekazywania do JIP danych PNR.

Co przewidziano w projekcie?

Zgodnie z proponowanymi przepisami już niebawem przewoźnicy lotniczy będą przekazywać Straży Granicznej dane dotyczące przelotu pasażerów korzystających z ich linii. Informacje o pasażerach przetwarzane będą w celu zapobiegania, wykrywania i zwalczania terroryzmu, innych przestępstw oraz ścigania ich sprawców. Obowiązek wprowadzenia wspomnianych przepisów wprowadziła unijna dyrektywa w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR – ang. passenger name record). Dziś Rada Ministrów przyjęła projekt ustawy w tej sprawie.

Przygotowana ustawa o przetwarzaniu danych dotyczących pasażera określa m.in. zasady i warunki przekazywania danych odpowiednim organom odpowiedzialnym za zwalczanie przestępstw, np. Komendantowi Głównemu Policji, oraz reguluje w tym zakresie także współpracę z Europolem. Zebrane i przekazane przez przewoźników informacje będzie można przetwarzać wyłącznie w celu zapobiegania, wykrywania i zwalczania przestępstw oraz ścigania sprawców m.in. terroryzmu, przestępstw skarbowych, handlu ludźmi, nielegalnego obrotu bronią i amunicją, handlu narkotykami, rozbojów czy obrotu kradzionymi pojazdami.

Większość państw członkowskich Unii Europejskiej korzysta już z tych danych na mocy krajowych przepisów przyznających takie uprawnienia np. Policji. Zgodnie z dyrektywą konieczne jest ustanowienie jednostki, która będzie gromadzić i przetwarzać dane uzyskane od przewoźników - w Polsce rolę Krajowej Jednostki do spraw Informacji o Pasażerach (JIP) będzie pełnić właściwa komórka organizacyjna Straży Granicznej.

Zgodnie z proponowanymi przepisami, przewoźnicy lotniczy będą zbierać i przekazywać m.in. takie dane jak imiona i nazwiska pasażerów, daty rezerwacji i trasy przelotów (są to tzw. dane PNR). Nie będą natomiast zbierane tzw. dane wrażliwe. Przewoźnicy będą przekazywać dane PNR dotyczące lotów do Unii oraz wylotów z Unii. Zebrane w ten sposób dane będzie można wykorzystywać wyłącznie w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia dochodzeń w ich sprawie oraz ich ścigania. Przetwarzanie danych monitorować będzie inspektor do spraw ochrony danych o pasażerach – to on będzie czuwał nad prawidłowością ich przetwarzania, a w przypadku naruszenia zasad będzie mógł zawiadomić o tym fakcie Generalnego Inspektora Ochrony Danych Osobowych. Osoba, której dane będą przetwarzane, będzie miała prawo do kontaktu z inspektorem.

Którzy przewoźnicy będą mieli obowiązek przekazywania danych pasażerów?

Obowiązek przekazywania do JIP danych PNR zostanie nałożony z mocy prawa na przewoźników lotniczych realizujących loty PNR.
W rozumieniu projektowanej ustawy przewoźnikiem lotniczym będzie podmiot określony w art. 2 pkt 16 ustawy z dnia 3 lipca 2002 r. Prawo lotnicze (Dz.U. z 2016 r. poz. 605 z późn. zm.), tj. podmiot uprawniony do wykonywania przewozów lotniczych na podstawie koncesji - w przypadku polskiego przewoźnika lotniczego, lub na podstawie odpowiedniego aktu właściwego organu obcego państwa - w przypadku obcego przewoźnika lotniczego.
Przewidziane w ustawie pojęcie ,,lot PNR” oznaczać będzie lot statku powietrznego wykonującego regularny lub nieregularny przewóz lotniczy pasażerów, których dane PNR są przetwarzane i podczas którego następuje przekroczenie granicy państwowej, a start albo lądowanie statku powietrznego następuje na terytorium Rzeczypospolitej Polskiej. Zgodnie z projektem zakresem projektowanego pojęcia objęte mają być wszystkie międzynarodowe loty pasażerskie realizowane przez przewoźników lotniczych do albo z terytorium Polski, tzn. mają to być zarówno loty wewnątrzunijne, pozaunijne, loty regularne oraz nieregularne, w tym loty wykonywane w ramach czarteru lotniczego lub świadczenia usług transportowych w ramach tzw. taksówek powietrznych.
Danymi PNR, wymaganymi na podstawie ustawy od przewoźników lotniczych, będą dane dotyczące przelotu pasażera, w tym dane osobowe, które przetwarzane są w związku z prowadzeniem działalności gospodarczej przez przewoźników lotniczych w celu rezerwacji lub realizacji lotu w ramach przewozu lotniczego. Wykaz kategorii danych PNR stanowić będzie załącznik nr 1 do ustawy.
Projektowana ustawa przewiduje, że przewoźnicy lotniczy będą obowiązani do przekazywania gromadzonych przez siebie danych przed każdym realizowanym lotem PNR w dwóch terminach określonych w art. 4 ust. 1 projektu, tj. w okresie od 48 do 24 godzin przed planowanym rozpoczęciem lotu oraz niezwłocznie po zakończeniu odprawy biletowo-bagażowej i wejściu pasażerów na pokład statku powietrznego, kiedy pasażerowie nie mogą już wejść na pokład ani go opuścić przed jego startem. Przekazanie danych PNR we wskazanym powyżej okresie przed planowanym rozpoczęciem lotu polegać będzie mogło na jednokrotnym lub wielokrotnym przesłaniu przez przewoźnika lotniczego danych PNR do JIP.

Niezależnie od powyższego ogólnego obowiązku w zakresie terminów przekazania danych PNR, projekt przewiduje również przekazywanie przez przewoźników lotniczych danych PNR w trybie wnioskowym, tj. na wniosek JIP, w terminach przez nią wskazanych. Taki wniosek określać będzie czy przekazanie danych PNR w terminach określonych we wniosku, zwalniać będzie przewoźnika lotniczego z obowiązku przekazania danych PNR w ogólnych terminach, określonych w art. 4 ust. 1 ustawy.

Projektowana ustawa nakłada również na przewoźników lotniczych realizujących loty PNR obowiązek informowania, w sposób łatwo dostępny i zrozumiały, każdego pasażera, o przekazywaniu jego danych PNR do JIP oraz o przysługującym mu prawie do ochrony jego danych osobowych.

Kto będzie przetwarzał dane pasażerów?

Projekt przewiduje, że JIP zostanie utworzona w strukturach Straży Granicznej. Do zadań JIP należeć będzie:

gromadzenie i przechowywanie danych PNR przekazanych przez przewoźników lotniczych;
przekazywanie danych PNR lub wyników ich przetwarzania właściwym organom z własnej inicjatywy albo na wniosek tych organów;
wymiana danych PNR lub wyników ich przetwarzania z innymi państwami członkowskimi;
przekazywanie danych PNR lub wyników ich przetwarzania do Europolu;
przekazywanie danych PNR lub wyników ich przetwarzania państwom trzecim;
dokonywanie sprawdzeń danych PNR według ustalonych kryteriów;
dokonywanie analizy danych PNR oraz wyników ich przetwarzania;
opracowywanie informacji statystycznych o danych PNR przekazanych do JIP.

JIP przetwarzając dane PNR będzie wykonywać następujące czynności:

dokonywać sprawdzeń pasażerów lotów PNR w celu identyfikacji osób, które wymagają dalszego sprawdzenia przez właściwe organy, Europol lub właściwe organy innych państw członkowskich;
odpowiadać, na podstawie oceny każdego indywidualnego przypadku, na uzasadniony i oparty na wystarczających podstawach wniosek o przekazanie i przetwarzanie danych PNR lub wyników ich przetwarzania złożony przez właściwy organ, Europol, JIP lub właściwe organy z innych państw członkowskich, a także przez organy państw trzecich;
analizować dane PNR do celów aktualizacji lub tworzenia nowych kryteriów stosowanych przy sprawdzeniach.

Projekt przewiduje, że uzyskane od przewoźników lotniczych dane PNR będą mogły być przechowywane od dnia ich zgromadzenia. Dane PNR mogące służyć do bezpośredniej identyfikacji pasażera, po upływie 6 miesięcy od zgromadzenia w KSI PNR, poddawane będą depersonalizacji poprzez ukrycie określonych w ustawie elementów.
Właściwymi organami w rozumieniu projektowanej ustawy, tj. organami i służbami Rzeczypospolitej Polskiej, uprawnionymi do występowania do JIP o dane PNR lub wyniki ich przetwarzania oraz do otrzymywania takich danych i wyników ich przetwarzania, do celów określonych w ustawie w zakresie właściwości tych organów, będą:

Generalny Inspektor Informacji Finansowej;
Komendant Główny Policji;
Komendant Główny Straży Granicznej;
Komendant Główny Żandarmerii Wojskowej;
Prokurator Krajowy;
Szef Agencji Bezpieczeństwa Wewnętrznego;
Szef Agencji Wywiadu;
Szef Centralnego Biura Antykorupcyjnego;
Szef Krajowej Administracji Skarbowej;
Szef Służby Kontrwywiadu Wojskowego;
Szef Służby Wywiadu Wojskowego.

Rola właściwych organów polegać będzie na:

występowaniu do JIP o przekazanie danych PNR otrzymanych od przewoźników lotniczych, jak również o uzyskanie tych danych przez JIP w innym niż przewidziany w ustawie terminie, gdy jest to niezbędne, by zareagować na konkretne i rzeczywiste zagrożenie związane z przestępstwami terrorystycznymi lub poważną przestępczością;
otrzymywaniu od JIP danych PNR lub wyników ich przetwarzania na potrzeby dalszego sprawdzenia tych informacji lub podjęcia odpowiednich czynności w celu zapobiegania i zwalczania przestępstw o charakterze terrorystycznym i poważnej przestępczości, ich wykrywania i ścigania ich sprawców;
udziale w tworzeniu i okresowej weryfikacji kryteriów, według których będą analizowane i przetwarzane dane PNR przez JIP;
możliwości zwrócenia się - z pominięciem pośrednictwa krajowej JIP - do JIP w dowolnym państwie członkowskim z wnioskiem o przekazanie im danych PNR przechowywanych w bazie danych tej JIP, gdy jest to niezbędne w nagłych przypadkach zapobiegania przestępstwom terrorystycznym i poważnej przestępczości;
możliwości delegowania do JIP swoich przedstawicieli w celu wykonywania zadań JIP.

Jeżeli w wyniku przetwarzania danych PNR zostaną uzyskane informacje uzasadniające podejrzenie popełnienia przestępstwa bądź zostanie wykryte przestępstwo, inne niż określone w ustawie, właściwe organy będą mogą wykorzystać te informacje dla potrzeb wykrywania i ścigania takich przestępstw.
W projektowanej ustawie przewiduje się również uregulowanie międzynarodowej współpracy w zakresie wymiany danych PNR. Dyrektywa przewiduje, że zgromadzone przez JIP dane PNR mogą być przedmiotem wymiany pomiędzy państwami członkowskimi oraz przekazywane do Europolu i państw trzecich do celów zapobiegania, rozpoznawania i wykrywania określonych w niej przestępstw. W projekcie ustawy proponuje się uregulowane zasad i trybu przekazywania tych danych oddzielenie dla każdego z wymienionego powyżej podmiotu.
Zgodnie z projektem standard ochrony danych osobowych ma być zgodny ze standardem uregulowanym w ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922) i jedynie w zakresie wymaganym do wdrożenia przepisów dyrektywy zasady te podlegają określonym w ustawie modyfikacjom.
Przepisy ustawy przewidują również administracyjne kary pieniężne, które nakładane będą na przewoźników lotniczych za nierealizowanie lub nieprawidłowe realizowanie obowiązków wynikających z ustawy. Administracyjne kary pieniężne będą nakładane przez Komendanta Głównego Straży Granicznej w drodze decyzji. Projekt przewiduje, że administracyjne kary pieniężne stanowić będą dochód budżetu państwa.
Ustanowienie JIP w ramach struktur Straży Granicznej wymagać będzie zmiany w ustawie 12 października 1990 r. o Straży Granicznej (Dz.U. z 2016 r. poz. 1643, 1948 i 1955 oraz z 2017 r. poz. 60, 244 i 768) poprzez wskazanie w art. 1 tej ustawy, że Straż Graniczna realizuje zadania JIP.