Ustawaz dnia 9 maja 2018 r.o przetwarzaniu danych dotyczących przelotu pasażera 1)Niniejsza ustawa dokonuje w zakresie swojej regulacji wdrożenia dyrektywy Parlamentu
Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r. w sprawie wykorzystywania
danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom
terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań
przygotowawczych w ich sprawie i ich ścigania (Dz. Urz. UE L 119 z 04.05.2016, str.
132).
Spis treści
- Treść ustawy
- Rozdział 1 - Przepisy ogólne
- Rozdział 2 - Obowiązek przekazywania danych PNR przez przewoźników lotniczych
- Rozdział 3 - Krajowa Jednostka do spraw Informacji o Pasażerach
- Rozdział 4 - Zasady przetwarzania danych PNR
- Rozdział 5 - Właściwe organy
- Rozdział 6 - Współpraca międzynarodowa w zakresie wymiany danych PNR
- Rozdział 7 - Ochrona danych osobowych
- Rozdział 8 - Administracyjne kary pieniężne
- Rozdział 9 - Zmiany w przepisach, przepisy epizodyczne i końcowe
Treść ustawy
Rozdział 1
Przepisy ogólne
Art. 1.
1.
Ustawa określa zasady i warunki przekazywania przez przewoźników lotniczych danych
dotyczących przelotu pasażera oraz przetwarzania tych danych w celu wykrywania i zwalczania
przestępstw o charakterze terrorystycznym i innych przestępstw lub przestępstw skarbowych
oraz zapobiegania im i ścigania ich sprawców, a także podmioty właściwe w tych sprawach.
2.
Ustawa nie narusza postanowień ratyfikowanych umów międzynarodowych dotyczących współpracy
z państwami trzecimi w zakresie wymiany informacji w celu, o którym mowa w ust. 1.
Art. 2.
Użyte w ustawie określenia i skróty oznaczają:
1)
dane PNR - dane dotyczące przelotu pasażera, w tym dane osobowe, które są przetwarzane
w związku z prowadzeniem działalności gospodarczej przez przewoźników lotniczych w
celu dokonania rezerwacji lub realizacji lotu w ramach przewozu lotniczego, podlegające
przekazaniu przez przewoźnika lotniczego do JIP;
2)
JIP - Krajowa Jednostka do spraw Informacji o Pasażerach;
3)
JIP PCz - JIP państwa członkowskiego innego niż Rzeczpospolita Polska;
4)
KSI PNR - Krajowy System Informatyczny PNR, będący systemem teleinformatycznym, w
którym JIP przetwarza dane PNR lub wyniki ich przetwarzania;
5)
kryteria przetwarzania danych PNR - zbiór odpowiednio dobranych informacji należących
do kategorii danych PNR, umożliwiający identyfikację osób w związku z wykonywaniem
sprawdzeń pasażerów lotu PNR;
6)
lot PNR - lot statku powietrznego wykonującego przewóz lotniczy pasażerów, podczas
którego następuje przekroczenie granicy państwowej, a start albo lądowanie statku
powietrznego następuje na terytorium Rzeczypospolitej Polskiej;
7)
państwo członkowskie - państwo członkowskie Unii Europejskiej, które stosuje dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r.
w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu
zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania,
prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania ;
8)
państwo trzecie - państwo niebędące państwem członkowskim;
9)
pozytywny wynik sprawdzenia - efekt zautomatyzowanego przetwarzania danych PNR wskazujący
na identyczność lub zbieżność danych PNR z danymi osobowymi zgromadzonymi w bazach
danych wykorzystywanych do zapobiegania, wykrywania, zwalczania oraz ścigania sprawców
przestępstw i przestępstw skarbowych lub z kryteriami przetwarzania danych PNR;
10)
przetwarzanie danych PNR - operacje wykonywane na danych PNR, takie jak: gromadzenie,
utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie,
pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesłanie, rozpowszechnianie
lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie
lub niszczenie;
11)
właściwe organy - organy uprawnione w Rzeczypospolitej Polskiej do występowania o
przekazanie danych PNR lub wyników ich przetwarzania oraz do otrzymywania takich danych
i wyników ich przetwarzania, do celów określonych w art. 1 ust. 1;
12)
właściwe organy PCz - organy państwa członkowskiego innego niż Rzeczpospolita Polska,
notyfikowane Komisji Europejskiej przez to państwo członkowskie, uprawnione do występowania
o przekazanie danych PNR lub wyników ich przetwarzania oraz do otrzymywania takich
danych i wyników ich przetwarzania, do celów określonych w art. 1 ust. 1;
13)
zautomatyzowane przetwarzanie danych PNR - sposób przetwarzania danych PNR polegający
na samoczynnym porównaniu przez KSI PNR danych PNR z danymi osobowymi zgromadzonymi
w bazach danych wykorzystywanych do zapobiegania, wykrywania, zwalczania oraz ścigania
sprawców przestępstw i przestępstw skarbowych lub kryteriami przetwarzania danych
PNR, uruchamiany każdorazowo podczas przekazania tych danych przez przewoźników lotniczych
do JIP.
Art. 3.
Dane PNR przekazane przez przewoźników lotniczych mogą być przetwarzane w celu zapobiegania,
wykrywania i zwalczania oraz ścigania sprawców:
1)
przestępstw o charakterze terrorystycznym;
2)
przestępstw lub przestępstw skarbowych:
a)
udziału w zorganizowanej grupie albo związku mających na celu popełnianie przestępstw
lub przestępstw skarbowych,
b)
handlu ludźmi,
c)
przeciwko wolności seksualnej lub obyczajności na szkodę małoletniego,
d)
nielegalnego wytwarzania, przetwarzania, przemytu środków odurzających, prekursorów,
środków zastępczych lub substancji psychotropowych lub obrotu nimi,
e)
nielegalnego obrotu bronią, amunicją lub materiałami wybuchowymi,
f)
łapownictwa i płatnej protekcji,
g)
oszustwa, w tym oszustwa przeciwko interesom finansowym Unii Europejskiej,
h)
wprowadzania do obrotu finansowego wartości majątkowych pochodzących z nielegalnych
lub nieujawnionych źródeł, fałszowania oraz obrotu fałszywymi pieniędzmi lub innymi
środkami płatniczymi,
i)
przeciwko ochronie danych gromadzonych, przechowywanych, przetwarzanych lub przekazywanych
w systemie informatycznym,
j)
przeciwko środowisku naturalnemu, w tym nielegalnego obrotu zagrożonymi gatunkami
zwierząt i roślin,
k)
udzielenia pomocy w nielegalnym przekroczeniu granicy państwowej lub pobycie,
l)
zabójstwa, spowodowania ciężkiego uszczerbku na zdrowiu,
m)
nielegalnego obrotu organami i tkankami ludzkimi,
n)
bezprawnego pozbawienia człowieka wolności, uprowadzenia człowieka dla okupu, wzięcia
lub przetrzymywania zakładnika,
o)
rozboju z użyciem broni palnej lub groźby jej użycia, wymuszenia rozbójniczego z użyciem
broni palnej lub groźby jej użycia,
p)
nielegalnego handlu dobrami kultury,
q)
podrabiania oraz obrotu podrobionymi wyrobami,
r)
fałszowania oraz obrotu sfałszowanymi dokumentami,
s)
nielegalnego obrotu hormonami lub podobnymi substancjami,
t)
nielegalnego obrotu materiałami radioaktywnymi,
u)
zgwałcenia,
v)
należących do właściwości Międzynarodowego Trybunału Karnego,
w)
porwania statku wodnego lub powietrznego,
x)
sabotażu,
y)
obrotu kradzionymi pojazdami mechanicznymi,
z)
szpiegostwa przemysłowego
- których górna granica ustawowego zagrożenia wynosi przynajmniej 3 lata pozbawienia
wolności.
Art. 4.
1.
Przetwarza się następujące kategorie danych PNR:
1)
kod identyfikacyjny danych PNR;
2)
datę dokonania rezerwacji lub wystawienia biletu na lot PNR;
3)
datę planowanego przelotu;
4)
imię i nazwisko pasażera;
5)
adres, numer telefonu i adres e-mail pasażera;
6)
informacje dotyczące płatności za bilet, obejmujące numer karty płatniczej, informacje
o płatności gotówką, informacje znajdujące się na fakturze albo na innym dowodzie
płatności za bilet oraz informacje zawarte w poleceniu przelewu: numery rachunków
bankowych nadawcy i odbiorcy, imiona i nazwiska lub nazwy nadawcy i odbiorcy, kwotę
i walutę przelewu, datę i czas wykonania przelewu oraz jego tytuł;
7)
trasę przelotu pasażera;
8)
informacje o programach lojalnościowych;
9)
nazwę, numer telefonu, adres e-mail i adres biura podróży lub agencji turystycznej;
10)
dane o statusie podróży pasażera obejmujące:
a)
potwierdzenia etapów rezerwacji,
b)
stan odprawy biletowo-bagażowej,
c)
informacje o tym, czy pasażer stawił się osobiście do tej odprawy lub nabył bilet
w czasie odprawy biletowo-bagażowej bez wcześniejszej rezerwacji;
11)
informacje o:
a)
rozdzieleniu danych PNR, obejmujące informacje o zmianie rezerwacji dokonanej dla
więcej niż jednej osoby w zakresie wskazania nowego kierunku lotu dla co najmniej
jednej z nich, albo
b)
podzieleniu danych PNR, obejmujące informacje o zmianie rezerwacji dokonanej dla więcej
niż jednej osoby w zakresie wskazania nowego kierunku lotu dla wszystkich osób nią
objętych;
12)
informacje dotyczące osoby małoletniej podróżującej bez opieki statkiem powietrznym,
obejmujące:
a)
imię i nazwisko osoby małoletniej, jej płeć, wiek oraz języki, którymi włada,
b)
imię i nazwisko opiekuna osoby małoletniej w momencie startu tego statku, jego adres,
numer telefonu, adres e-mail, rodzaj i numer dokumentu tożsamości oraz rodzaj więzi
łączącej go z osobą małoletnią,
c)
imię i nazwisko opiekuna osoby małoletniej w momencie lądowania tego statku, jego
adres, numer telefonu, adres e-mail, rodzaj i numer dokumentu tożsamości oraz rodzaj
więzi łączącej go z osobą małoletnią,
d)
imię i nazwisko przedstawiciela przewoźnika lotniczego obecnego przy odlocie i przylocie;
13)
numer biletu, datę jego wystawienia i informację, czy został wystawiony w jedną stronę,
oraz informację o automatycznie skalkulowanej taryfie służącej do ustalenia ceny biletu;
14)
numer miejsca na pokładzie statku powietrznego i inne informacje dotyczące tego miejsca;
15)
informacje o wspólnej obsłudze połączeń;
16)
informacje dotyczące liczby, rodzaju i wagi bagażu;
17)
liczba oraz imiona i nazwiska innych pasażerów wymienionych w danych PNR dotyczących
dokonanej rezerwacji;
18)
informacje dotyczące przelotu pasażera, przekazane przez przewoźnika lotniczego przed
podróżą, obejmujące:
a)
rodzaj, numer, kraj wydania i datę ważności dokumentu tożsamości,
b)
obywatelstwo,
c)
imię i nazwisko,
d)
płeć,
e)
datę urodzenia,
f)
nazwę linii lotniczych, numer lotu PNR oraz datę i godzinę startu i lądowania statku
powietrznego,
g)
nazwę portu lotniczego, w którym nastąpił start oraz lądowanie
- zwane dalej „danymi API”;
19)
zmiany danych PNR zawartych w kategoriach, o których mowa w pkt 1-18.
2.
Nie przetwarza się danych PNR ujawniających rasę, pochodzenie etniczne, poglądy polityczne,
przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, stan
zdrowia, życie seksualne lub orientację seksualną danej osoby.
Rozdział 2
Obowiązek przekazywania danych PNR przez przewoźników lotniczych
Art. 5.
1.
Przewoźnik lotniczy, który organizuje lot PNR, przekazuje do JIP dane PNR dotyczące
pasażerów tego lotu, spośród kategorii danych PNR, które gromadzi w trakcie prowadzonej
przez siebie działalności w celu dokonania rezerwacji lub realizacji przewozu lotniczego.
2.
Przekazywanie danych PNR przez przewoźników lotniczych do JIP odbywa się nieodpłatnie.
Art. 6.
1.
Dane PNR są przekazywane przez przewoźników lotniczych do JIP w następujących terminach:
1)
od 48 do 24 godzin przed planowanym rozpoczęciem lotu PNR oraz
2)
niezwłocznie po zakończeniu odprawy biletowo-bagażowej i wejściu pasażerów na pokład
statku powietrznego, kiedy nie mogą już go opuścić przed jego startem, a inni pasażerowie
nie mogą wejść na pokład.
2.
Przekazanie danych PNR w terminie określonym w ust. 1:
1)
pkt 1 - polega na jednokrotnym albo wielokrotnym przesłaniu danych PNR do JIP;
2)
pkt 2 - polega na przekazaniu danych PNR albo aktualizacji danych, które zostały przekazane
w terminie, o którym mowa w ust. 1 pkt 1.
3.
W przypadku zmiany danych PNR, przekazanych na podstawie ust. 1 pkt 2, przed startem
statku powietrznego, przewoźnik lotniczy przekazuje dane PNR ponownie.
Art. 7.
1.
W przypadku bezpośredniego i rzeczywistego zagrożenia przestępstwem lub przestępstwem
skarbowym, o którym mowa w art. 3, właściwy organ może wystąpić z wnioskiem do JIP
o przekazanie danych PNR przez przewoźnika lotniczego w terminach innych niż określone
w art. 6 ust. 1. Właściwy organ może złożyć wniosek ustnie, a następnie niezwłocznie
potwierdzić go w formie pisemnej w postaci papierowej lub elektronicznej.
2.
Wniosek, o którym mowa w ust. 1, zawiera:
1)
nazwę przewoźnika lotniczego i numer lotu PNR, którego dotyczy wniosek;
2)
podstawę prawną wniosku i jego uzasadnienie wskazujące bezpośrednie i rzeczywiste
zagrożenie przestępstwem lub przestępstwem skarbowym, o którym mowa w art. 3, oraz
przyczyny przekazania przez przewoźnika lotniczego danych PNR w innych terminach niż
określone w art. 6 ust. 1;
3)
określenie terminu lub terminów przekazania danych PNR do JIP;
4)
oznaczenie sprawy, w której dane PNR lub wyniki ich przetwarzania będą wykorzystywane;
5)
numer telefonu osoby prowadzącej sprawę;
6)
nazwę właściwego organu albo imię i nazwisko osoby upoważnionej przez niego do złożenia
wniosku.
3.
JIP odmawia realizacji wniosku, o którym mowa w ust. 1, w przypadku gdy nie zawiera
on:
1)
uzasadnienia lub podstawy prawnej przekazania danych PNR w innym terminie;
2)
wymaganych elementów identyfikujących lot PNR.
4.
W przypadku, o którym mowa w ust. 1, przewoźnik lotniczy, na wniosek JIP, przekazuje
dane PNR w terminie lub terminach określonych w tym wniosku.
5.
We wniosku, o którym mowa w ust. 4, JIP może zwolnić przewoźnika lotniczego z obowiązku
przekazania danych PNR w terminach określonych w art. 6 ust. 1.
6.
Wniosek, o którym mowa w ust. 4, zawiera:
1)
nazwę przewoźnika lotniczego i numer lotu PNR, którego dotyczy wniosek;
2)
podstawę prawną wniosku i jego uzasadnienie;
3)
określenie terminu lub terminów przekazania danych PNR do JIP;
4)
informację, czy przekazanie danych PNR w terminie lub terminach określonych we wniosku
zwalnia przewoźnika lotniczego z obowiązku przekazania danych PNR w terminach określonych
w art. 6 ust. 1.
Art. 8.
1.
Przewoźnik lotniczy przekazuje dane PNR do JIP za pomocą środków komunikacji elektronicznej,
wykorzystując protokoły i formaty danych określone w przepisach wykonawczych wydanych
na podstawie ust. 3 pkt 1.
2.
W przypadku gromadzenia przez przewoźnika lotniczego danych API odrębnie od pozostałych
danych PNR dla tego samego lotu PNR, dane te są przekazywane zgodnie z formatem określonym
w przepisach wykonawczych wydanych na podstawie ust. 3 pkt 2.
3.
Minister właściwy do spraw wewnętrznych określi, w drodze rozporządzenia:
1)
protokoły i formaty danych wykorzystywane do przekazywania danych PNR do JIP,
2)
format danych, zgodnie z którym przekazywane są dane API, które przewoźnicy lotniczy
gromadzą odrębnie od pozostałych danych PNR dla tego samego lotu PNR
- uwzględniając konieczność zapewnienia bezpiecznego i efektywnego przekazywania danych
PNR oraz optymalizacji kosztów.
4.
Przewoźnik lotniczy wykonujący nieregularny przewóz lotniczy pasażerów i niedysponujący
infrastrukturą, która umożliwiałaby obsługę protokołów i formatów danych określonych
w przepisach wykonawczych wydanych na podstawie ust. 3, przekazuje dane PNR do JIP
za pomocą środków komunikacji elektronicznej, w sposób gwarantujący ochronę danych
osobowych przed niedozwolonymi formami ich przetwarzania, w szczególności przed ich
zniszczeniem, utratą, modyfikacją, ujawnieniem lub dostępem do nich, uwzględniający
ryzyko wiążące się z przetwarzaniem i charakterem danych podlegających ochronie oraz
koszty jego wdrożenia. Przewoźnik lotniczy i Komendant Główny Straży Granicznej uzgadniają
w drodze pisemnego porozumienia rodzaje stosowanych środków komunikacji elektronicznej,
za pomocą których dane PNR są przekazywane, oraz sposób ich zabezpieczenia.
5.
W przypadku gdy przekazanie danych PNR w sposób określony w ust. 1-4 jest niemożliwe
z powodu awarii technicznej, przewoźnik lotniczy i JIP uzgadniają w drodze porozumienia
inny sposób przekazania tych danych, zapewniający sprawny przekaz danych, gwarantujący
ochronę danych osobowych przed niedozwolonymi formami ich przetwarzania, w szczególności
przed ich zniszczeniem, utratą, modyfikacją, ujawnieniem lub dostępem do nich, uwzględniający
ryzyko wiążące się z przetwarzaniem i charakterem danych podlegających ochronie oraz
biorąc pod uwagę koszty jego wdrożenia. Przewoźnik lotniczy i JIP niezwłocznie potwierdzają
pisemnie uzgodnione porozumienie.
6.
Komendant Główny Straży Granicznej udostępnia w Biuletynie Informacji Publicznej na
stronie podmiotowej Komendy Głównej Straży Granicznej informacje dotyczące sposobu
przekazywania danych PNR przez przewoźników lotniczych do JIP.
Art. 9.
1.
Przewoźnik lotniczy, podczas dokonywania rezerwacji lub wystawiania biletu na przewóz
lotniczy informuje w formie pisemnej, w postaci papierowej lub elektronicznej, każdego
pasażera o przetwarzaniu jego danych PNR i przekazywaniu ich do JIP, w celu określonym
w art. 1 ust. 1, oraz o przysługującym mu prawie do ochrony jego danych osobowych
przekazanych do JIP.
2.
Informacja o przysługującym pasażerowi prawie do ochrony jego danych osobowych przekazanych
do JIP zawiera:
1)
określenie celu, zakresu, sposobu i okresu przetwarzania tych danych przez JIP;
2)
adres, numer telefonu i adres e-mail Komendanta Głównego Straży Granicznej jako administratora
danych PNR;
3)
pouczenie o prawie do dostępu do jego danych osobowych, żądania ich uzupełnienia,
uaktualnienia, sprostowania lub usunięcia, jeżeli są one niekompletne, nieaktualne,
nieprawdziwe lub zostały zgromadzone z naruszeniem prawa, a także o prawie do odszkodowania
oraz dochodzenia swoich praw na drodze sądowej, w przypadku naruszenia zasad przetwarzania
jego danych osobowych przez JIP;
4)
pouczenie o prawie do kontaktu z Inspektorem do spraw ochrony danych o pasażerach,
zwanym dalej „Inspektorem”, oraz jego adres, numer telefonu i adres e-mail;
5)
pouczenie o prawie do złożenia wniosku o udzielenie informacji o przysługujących mu
prawach lub złożenia skargi do Generalnego Inspektora Ochrony Danych Osobowych w zakresie
przetwarzania danych osobowych pasażera w związku z przetwarzaniem danych PNR.
Art. 10.
1.
Przewoźnik lotniczy, w celu zapewnienia skutecznego przekazywania danych PNR, informuje
JIP, w formie pisemnej, w postaci papierowej lub dokumentu elektronicznego, o:
1)
swojej nazwie, adresie, numerze telefonu oraz adresie e-mail,
2)
wybranym przez siebie spośród określonych w przepisach wykonawczych wydanych na podstawie
art. 8 ust. 3 pkt 1 protokole i formacie danych, wykorzystywanych do przesyłania danych
PNR do JIP,
3)
ustalonych przez siebie rozkładach lub programach lotów PNR,
4)
elementach kategorii gromadzonych przez siebie danych PNR
- w terminie do 14 dni przed rozpoczęciem wykonywania lotów PNR.
2.
W stosunku do przewoźnika lotniczego, o którym mowa w art. 8 ust. 4, nie stosuje się
obowiązku określonego w ust. 1 pkt 2.
3.
W przypadku lotów PNR nieuwzględnionych w rozkładach lub programach lotów PNR obowiązek,
o którym mowa w ust. 1, przewoźnik lotniczy wykonuje niezwłocznie po wprowadzeniu
planowanego lotu PNR do rozkładu lub programu lotów PNR.
4.
W przypadku gdy informacje, o których mowa w ust. 1, uległy zmianie, przewoźnik lotniczy
niezwłocznie przekazuje ich aktualizację do JIP.
Art. 11.
Prezes Urzędu Lotnictwa Cywilnego współdziała z Komendantem Głównym Straży Granicznej
w zakresie niezbędnym do zapewnienia wykonywania przez przewoźników lotniczych obowiązku
przekazywania danych PNR do JIP, w szczególności przez udostępnianie na wniosek Komendanta
Głównego Straży Granicznej, złożony w formie pisemnej, w postaci papierowej lub elektronicznej,
posiadanych informacji dotyczących nazwy, adresu, numeru telefonu oraz adresu e-mail
przewoźników lotniczych lub zakresu ich działalności.
Rozdział 3
Krajowa Jednostka do spraw Informacji o Pasażerach
Art. 12.
1.
Funkcję JIP pełni komórka organizacyjna Straży Granicznej utworzona przez Komendanta
Głównego Straży Granicznej.
2.
Do zadań JIP należy przetwarzanie danych PNR, w tym:
1)
gromadzenie i przechowywanie danych PNR przekazanych przez przewoźników lotniczych;
2)
przekazywanie danych PNR lub wyników ich przetwarzania właściwym organom;
3)
wymiana danych PNR lub wyników ich przetwarzania z innymi państwami członkowskimi;
4)
przekazywanie danych PNR lub wyników ich przetwarzania do Europolu;
5)
przekazywanie danych PNR lub wyników ich przetwarzania państwom trzecim;
6)
dokonywanie sprawdzeń danych PNR według kryteriów przetwarzania danych PNR;
7)
dokonywanie analizy danych PNR w celu aktualizacji, usunięcia lub ustalenia kryteriów
przetwarzania danych PNR;
8)
opracowywanie informacji statystycznych o danych PNR przekazanych do JIP.
3.
JIP realizuje zadania w systemie całodobowym przez 7 dni w tygodniu.
4.
Ustalając kolejność przetwarzania danych PNR, JIP uwzględnia aktualny stopień zagrożeń,
możliwości techniczne i osobowe oraz potrzeby wynikające z bieżących okoliczności
przetwarzania danych PNR.
Art. 13.
1.
Komendant Główny Straży Granicznej tworzy i uruchamia KSI PNR oraz zapewnia:
1)
właściwą eksploatację techniczną, rozwój i utrzymanie KSI PNR;
2)
bezpieczeństwo funkcjonowania KSI PNR;
3)
ochronę danych PNR przetwarzanych w KSI PNR;
4)
aby wszystkie operacje związane z przetwarzaniem danych PNR przy wykorzystaniu KSI
PNR odbywały się wyłącznie w bezpiecznych, wyznaczonych do tego miejscach.
2.
Komendant Główny Straży Granicznej jest administratorem danych PNR przetwarzanych
w KSI PNR.
Art. 14.
W celu zapewnienia bezpieczeństwa przetwarzania danych PNR, KSI PNR:
1)
zapobiega dostępowi osób nieuprawnionych do KSI PNR;
2)
zapobiega nieuprawnionemu przetwarzaniu danych PNR;
3)
zapewnia rejestrowanie wszystkich przypadków, w których uzyskano dostęp do danych
PNR lub wykorzystano je w inny sposób przez KSI PNR.
Art. 15.
1.
Osoby, które wykonują zadania w JIP, mają dostęp do KSI PNR na podstawie upoważnienia
wydanego przez Komendanta Głównego Straży Granicznej, na czas wykonywania zadań w
JIP.
2.
Komendant Główny Straży Granicznej dopuszcza do wykonywania zadań w JIP i upoważnia
do dostępu do KSI PNR osoby, które ukończyły szkolenie w zakresie bezpieczeństwa i
ochrony danych przetwarzanych w KSI PNR.
3.
Warunkiem przystąpienia do szkolenia w zakresie bezpieczeństwa i ochrony danych przetwarzanych
w KSI PNR jest ukończenie szkolenia w zakresie ochrony danych osobowych.
4.
Szkolenie w zakresie bezpieczeństwa i ochrony danych przetwarzanych w KSI PNR prowadzi
Straż Graniczna na podstawie programu szkolenia zatwierdzonego przez Komendanta Głównego
Straży Granicznej. Szkolenie kończy się uzyskaniem zaświadczenia o jego ukończeniu.
Art. 16.
1.
W celu realizacji zadań, o których mowa w art. 12 ust. 2, na wniosek Komendanta Głównego
Straży Granicznej, właściwe organy mogą oddelegować swoich przedstawicieli do Straży
Granicznej do wykonywania zadań w JIP.
2.
Wniosek Komendanta Głównego Straży Granicznej zawiera następujące informacje dotyczące
przedstawiciela właściwego organu proponowanego do oddelegowania do Straży Granicznej
do wykonywania zadań w JIP:
1)
zakres wykonywanych zadań oraz kwalifikacje, uprawnienia lub umiejętności wymagane
do ich wykonywania;
2)
wymagania w zakresie posiadania poświadczenia bezpieczeństwa upoważniającego do dostępu
do informacji niejawnych i okresu jego ważności;
3)
proponowany czas pracy albo służby, z uwzględnieniem możliwości wykonywania pracy
albo pełnienia służby w systemie zmianowym;
4)
proponowany okres oddelegowania;
5)
planowany dzień rozpoczęcia oddelegowania;
6)
liczbę godzin pracy albo służby na stanowiskach wyposażonych w monitory ekranowe.
3.
Wniosek Komendanta Głównego Straży Granicznej może określać imię i nazwisko przedstawiciela
właściwego organu proponowanego do oddelegowania.
4.
Komendant Główny Straży Granicznej występuje z wnioskiem do właściwego organu w terminie
umożliwiającym rozpoczęcie wykonywania zadań w JIP przez przedstawiciela właściwego
organu proponowanego do oddelegowania w planowanym terminie.
5.
Właściwy organ, w terminie 14 dni od dnia otrzymania wniosku, zawiadamia Komendanta
Głównego Straży Granicznej o decyzji w sprawie oddelegowania swojego przedstawiciela
do Straży Granicznej do wykonywania zadań w JIP.
6.
W przypadku uwzględnienia wniosku przez właściwy organ i wyznaczenia przez niego swojego
przedstawiciela, Komendant Główny Straży Granicznej zawiera z tym organem w formie
pisemnej w postaci papierowej lub elektronicznej porozumienie o oddelegowaniu jego
przedstawiciela do Straży Granicznej do wykonywania zadań w JIP.
7.
Porozumienie zawiera w szczególności:
1)
datę porozumienia;
2)
okres oddelegowania;
3)
imię i nazwisko oddelegowanego przedstawiciela;
4)
stopień oddelegowanego przedstawiciela, w przypadku gdy jest on funkcjonariuszem albo
żołnierzem;
5)
numer poświadczenia bezpieczeństwa wydanego oddelegowanemu przedstawicielowi, datę
jego wydania i wystawcę takiego poświadczenia oraz okres ważności i oznaczenie klauzuli
upoważniających do przetwarzania informacji niejawnych;
6)
zakres zadań i obowiązków oddelegowanego przedstawiciela oraz sposób organizacji wykonywania
tych zadań i obowiązków;
7)
rozkład czasu pracy albo służby oddelegowanego przedstawiciela.
8.
W przypadku konieczności zmiany warunków oddelegowania przedstawiciela właściwego
organu Komendant Główny Straży Granicznej oraz właściwy organ dokonują w formie pisemnej
zmiany zawartego porozumienia.
9.
Komendant Główny Straży Granicznej, zgodnie z porozumieniem o oddelegowaniu przedstawiciela
właściwego organu do Straży Granicznej do wykonywania zadań w JIP, wyznacza temu przedstawicielowi
w formie pisemnej, w postaci papierowej lub elektronicznej:
1)
zadania, które będzie wykonywał w JIP;
2)
osobę odpowiedzialną za organizację wykonywanych przez niego zadań i rozliczanie go
z nich;
3)
rozkład jego czasu pracy albo służby.
10.
Właściwy organ odwołuje swojego przedstawiciela oddelegowanego do Straży Granicznej
do wykonywania zadań w JIP przed upływem terminu oddelegowania, na wniosek Komendanta
Głównego Straży Granicznej albo z własnej inicjatywy, po uprzednim zawiadomieniu Komendanta
Głównego Straży Granicznej o planowanym terminie odwołania tego przedstawiciela.
11.
W okresie oddelegowania właściwy organ wypłaca przedstawicielowi oddelegowanemu do
Straży Granicznej do wykonywania zadań w JIP uposażenie albo wynagrodzenie i inne
świadczenia oraz należności pieniężne.
Art. 17.
1.
Komendant Główny Straży Granicznej, w terminie do dnia 31 marca każdego roku kalendarzowego,
przedstawia ministrowi właściwemu do spraw wewnętrznych sprawozdanie z działalności
JIP w poprzednim roku kalendarzowym, które zawiera w szczególności dane statystyczne
dotyczące łącznej liczby pasażerów, których dane PNR zostały zebrane przez JIP i wymienione
z JIP PCz, oraz liczbę pasażerów wytypowanych do dalszego sprawdzenia.
2.
Dane statystyczne, o których mowa w ust. 1, nie zawierają danych osobowych pasażerów.
3.
Sprawozdanie z działalności JIP minister właściwy do spraw wewnętrznych przesyła corocznie
Komisji Europejskiej.
Rozdział 4
Zasady przetwarzania danych PNR
Art. 18.
1.
Dane PNR przekazane przez przewoźników lotniczych podlegają weryfikacji przez JIP
pod względem:
1)
ich zgodności z kategoriami danych PNR określonymi w art. 4 ust. 1;
2)
ich kompletności z elementami kategorii danych PNR, o których mowa w art. 10 ust.
1 pkt 4, gromadzonych przez danego przewoźnika lotniczego;
3)
zastosowania przez przewoźnika lotniczego:
a)
wybranego formatu przekazanych danych PNR, zgodnego z formatem określonym w przepisach
wykonawczych wydanych na podstawie art. 8 ust. 3 pkt 1,
b)
formatu zgodnego z formatem określonym w przepisach wykonawczych wydanych na podstawie
art. 8 ust. 3 pkt 2, w przypadku przekazywania danych API odrębnie od pozostałych
danych PNR dla tego samego lotu PNR,
c)
środków komunikacji elektronicznej i sposobów zabezpieczenia danych, uzgodnionych
z Komendantem Głównym Straży Granicznej w przypadku, o którym mowa w art. 8 ust. 4,
d)
sposobu przekazania danych PNR, uzgodnionego z JIP w przypadku, o którym mowa w art.
8 ust. 5;
4)
dotrzymania terminów przekazywania danych PNR.
2.
JIP, w sposób zautomatyzowany, trwale usuwa dane przekazane przez przewoźników lotniczych,
nienależące do kategorii danych PNR, o których mowa w art. 4 ust. 1, niezwłocznie
po ich otrzymaniu, przy wykorzystaniu KSI PNR lub przez osobę wykonującą zadania w
JIP.
3.
W przypadku otrzymania przez JIP danych, o których mowa w art. 4 ust. 2, JIP niezwłocznie,
w sposób zautomatyzowany, trwale je usuwa, przy wykorzystaniu KSI PNR lub przez osobę
wykonującą zadania w JIP.
4.
W przypadku gdy w wyniku weryfikacji zostaną stwierdzone naruszenia w zakresie niedopełnienia
przez przewoźników lotniczych obowiązku przekazywania danych PNR, JIP zawiadamia o
nich Komendanta Głównego Straży Granicznej.
Art. 19.
1.
JIP, przetwarzając dane PNR, dokonuje w sposób zautomatyzowany sprawdzeń pasażerów
lotów PNR w celu identyfikacji osób, które wymagają podjęcia dalszych działań przez
właściwe organy.
2.
Dokonując sprawdzeń, o których mowa w ust. 1, JIP porównuje dane PNR:
1)
z danymi zgromadzonymi w bazach danych wykorzystywanych do zapobiegania, wykrywania,
zwalczania oraz ścigania sprawców przestępstw i przestępstw skarbowych, o których
mowa w art. 3, w tym z bazami danych o osobach lub przedmiotach poszukiwanych lub
objętych wpisem, oraz innymi bazami danych mogącymi mieć znaczenie dla zapobiegania
i wykrywania przestępczości lub
2)
z kryteriami przetwarzania danych PNR.
3.
JIP posiada uprawnienia Straży Granicznej do dostępu do baz danych, o których mowa
w ust. 2 pkt 1.
Art. 20.
1.
W przypadku uzyskania pozytywnego wyniku sprawdzenia w trybie określonym w art. 19
ust. 2, podlega on indywidualnej ocenie, w sposób niezautomatyzowany, w celu ustalenia,
czy dane PNR lub wyniki ich przetwarzania podlegają niezwłocznemu przekazaniu przez
JIP właściwemu organowi.
2.
W przypadku, o którym mowa w ust. 1, JIP przekazuje dane PNR lub wyniki ich przetwarzania
z urzędu.
Art. 21.
1.
Właściwy organ w celu uzyskania danych PNR lub wyników ich przetwarzania występuje
do JIP z uzasadnionym wnioskiem o przekazanie danych PNR lub wyników ich przetwarzania,
zwanym dalej „wnioskiem o przekazanie danych PNR”.
2.
Wniosek o przekazanie danych PNR może dotyczyć określonych elementów kategorii danych
PNR, służących do realizacji celu, o którym mowa w art. 1 ust. 1.
3.
Wniosek o przekazanie danych PNR, składany przez właściwy organ w formie pisemnej,
w postaci papierowej lub elektronicznej, zawiera:
1)
oznaczenie sprawy, w której dane PNR lub wyniki ich przetwarzania będą wykorzystywane;
2)
podstawę prawną wniosku;
3)
określenie przestępstwa lub przestępstwa skarbowego, o których mowa w art. 3, uzasadniającego
przekazanie danych PNR lub wyników ich przetwarzania;
4)
dane osoby lub osób, których dotyczy wniosek - imię i nazwisko, datę urodzenia lub
inne dane pozwalające na jednoznaczne wyszukanie danych PNR;
5)
określenie okresu, którego dotyczą dane PNR;
6)
uzasadnienie wskazujące, że dostęp do danych PNR lub wyników ich przetwarzania jest
niezbędny;
7)
numer telefonu osoby prowadzącej sprawę;
8)
nazwę właściwego organu albo imię i nazwisko osoby upoważnionej przez niego do złożenia
wniosku.
4.
Wniosek o przekazanie danych PNR może również zawierać:
1)
zgodę, o której mowa w art. 33 ust. 2;
2)
inne dane, które w ocenie właściwego organu są istotne dla prawidłowej realizacji
wniosku.
5.
JIP dokonuje weryfikacji wniosku o przekazanie danych PNR pod względem spełnienia
warunków, o których mowa w ust. 3.
6.
Dane PNR lub wyniki ich przetwarzania, uzyskane przez JIP w wyniku realizacji wniosku
o przekazanie danych PNR, podlegają indywidualnej ocenie dokonywanej przez JIP w sposób
niezautomatyzowany w celu ustalenia, czy są one identyczne lub zbieżne z zakresem
wniosku o przekazanie danych PNR.
7.
W przypadku stwierdzenia identyczności lub zbieżności uzyskanych danych PNR lub wyników
ich przetwarzania z zakresem wniosku o przekazanie danych PNR, JIP przekazuje je właściwemu
organowi.
Art. 22.
1.
W przypadku bezpośredniego i rzeczywistego zagrożenia przestępstwem lub przestępstwem
skarbowym, o których mowa w art. 3, właściwy organ może wystąpić do JIP z ustnym wnioskiem
o przekazanie danych PNR, który następnie niezwłocznie potwierdza w formie pisemnej,
w postaci papierowej lub elektronicznej.
2.
W przypadku gdy wniosek o przekazanie danych PNR jest kierowany ustnie, przepisy art.
21 ust. 3 pkt 3-6 i 8 stosuje się.
3.
JIP przekazuje dane PNR po otrzymaniu potwierdzenia wniosku w formie pisemnej, w postaci
papierowej lub elektronicznej.
Art. 23.
JIP odmawia przekazania danych PNR lub wyników ich przetwarzania, w przypadku gdy:
1)
wniosek o przekazanie danych PNR nie został złożony przez właściwy organ albo osobę
upoważnioną przez niego do jego złożenia;
2)
wniosek o przekazanie danych PNR nie zawiera uzasadnienia wskazującego, że dostęp
do danych PNR lub wyników ich przetwarzania jest niezbędny;
3)
wniosek o przekazanie danych PNR nie zawiera podstawy prawnej przekazania danych PNR
lub wyników ich przetwarzania;
4)
wniosek o przekazanie danych PNR nie zawiera wymaganych danych lub może spowodować
nadmierne przetwarzanie danych PNR;
5)
przetwarzanie przekazanych danych PNR lub wyników ich przetwarzania miałoby nastąpić
w celu innym niż określony w art. 1 ust. 1;
6)
wniosek o przekazanie danych PNR dotyczy danych PNR, które nie mogą być przetwarzane
zgodnie z ustawą;
7)
nie uzyskano wymaganej zgody, o której mowa w art. 33 ust. 2.
Art. 24.
1.
JIP, na wniosek właściwego organu, ustala kryteria przetwarzania danych PNR, aktualizuje
ustalone kryteria lub usuwa je.
2.
Kryteria przetwarzania danych PNR są:
1)
ukierunkowane na zapobieganie, wykrywanie, zwalczanie oraz ściganie sprawców przestępstw
lub przestępstw skarbowych, o których mowa w art. 3, przez zestawienie odpowiednich
danych PNR;
2)
proporcjonalne do potrzeb gromadzenia danych PNR w ramach prowadzonego postępowania
karnego lub wykonywanych czynności operacyjno-rozpoznawczych i uwzględniające zgodność
zakresu podjętych czynności z zakresem potencjalnych wyników przetwarzania danych
PNR;
3)
szczegółowe, w stopniu zapewniającym skuteczną identyfikację osób oraz ograniczającym
liczbę potencjalnych wyników przetwarzania danych PNR.
3.
Kryteria przetwarzania danych PNR nie opierają się na rasie, pochodzeniu etnicznym,
poglądach politycznych, przekonaniach religijnych lub światopoglądowych, przynależności
do związków zawodowych, stanie zdrowia, życiu seksualnym ani orientacji seksualnej
danej osoby.
Art. 25.
1.
Właściwy organ, w celu ustalenia kryteriów przetwarzania danych PNR, występuje do
JIP w formie pisemnej, w postaci papierowej lub elektronicznej, z wnioskiem o ustalenie
kryteriów przetwarzania danych PNR.
2.
Wniosek o ustalenie kryteriów przetwarzania danych PNR zawiera:
1)
oznaczenie sprawy, w której dane PNR lub wyniki ich przetwarzania będą wykorzystywane;
2)
podstawę prawną wniosku;
3)
określenie przestępstwa lub przestępstwa skarbowego, o których mowa w art. 3, uzasadniającego
przetwarzanie danych PNR;
4)
uzasadnienie wskazujące, że dostęp do danych PNR lub wyników ich przetwarzania jest
niezbędny;
5)
elementy kategorii danych niezbędnych do sformułowania kryteriów przetwarzania danych
PNR;
6)
określenie okresu przekazywania danych PNR wytypowanych w oparciu o ustalone kryteria
ich przetwarzania;
7)
numer telefonu osoby prowadzącej sprawę;
8)
nazwę właściwego organu albo imię i nazwisko osoby upoważnionej przez niego do złożenia
wniosku.
3.
Wniosek o ustalenie kryteriów przetwarzania danych PNR może również zawierać inne
dane, które w ocenie właściwego organu są istotne dla jego prawidłowej realizacji.
4.
W przypadku bezpośredniego i rzeczywistego zagrożenia przestępstwem lub przestępstwem
skarbowym, o których mowa w art. 3, właściwy organ może wystąpić do JIP z ustnym wnioskiem
o ustalenie kryteriów przetwarzania danych PNR, który następnie niezwłocznie potwierdza
w formie pisemnej, w postaci papierowej lub elektronicznej. JIP może wstrzymać stosowanie
ustalonych w powyższy sposób kryteriów, jeżeli wniosek w formie ustnej nie został
potwierdzony w ciągu 3 godzin w formie pisemnej, w postaci papierowej lub elektronicznej,
przez właściwy organ.
5.
W przypadku gdy wniosek o ustalenie kryteriów przetwarzania danych PNR jest kierowany
ustnie, przepisy ust. 2 pkt 2-6 i 8 stosuje się.
Art. 26.
1.
Właściwy organ, w celu aktualizacji kryteriów przetwarzania danych PNR, występuje
do JIP, w formie pisemnej, w postaci papierowej lub elektronicznej, z wnioskiem o
aktualizację kryteriów przetwarzania danych PNR.
2.
Wniosek o aktualizację kryteriów przetwarzania danych PNR zawiera:
1)
numer wniosku, który stanowił podstawę do ustalenia kryteriów przetwarzania danych
PNR, o aktualizacje których wnosi właściwy organ;
2)
oznaczenie sprawy, w której dane PNR lub wyniki ich przetwarzania będą wykorzystywane;
3)
podstawę prawną wniosku;
4)
określenie przestępstwa lub przestępstwa skarbowego uzasadniającego przetwarzanie
danych PNR;
5)
uzasadnienie wskazujące, że dostęp do danych PNR lub wyników ich przetwarzania jest
niezbędny;
6)
elementy kategorii danych niezbędne do aktualizacji kryteriów przetwarzania danych
PNR;
7)
określenie okresu przekazywania danych PNR w oparciu o kryteria przetwarzania danych
PNR;
8)
numer telefonu osoby prowadzącej sprawę;
9)
nazwę właściwego organu albo imię i nazwisko osoby upoważnionej przez niego do złożenia
wniosku.
3.
Wniosek o aktualizację kryteriów przetwarzania danych PNR może również zawierać inne
dane, które w ocenie właściwego organu są istotne dla jego prawidłowej realizacji.
Art. 27.
1.
Właściwy organ, w celu usunięcia kryteriów przetwarzania danych PNR, występuje do
JIP, w formie pisemnej, w postaci papierowej lub elektronicznej, z wnioskiem o usunięcie
kryteriów przetwarzania danych PNR.
2.
Wniosek o usunięcie kryteriów przetwarzania danych PNR zawiera:
1)
numer wniosku, który stanowił podstawę do ustalenia kryteriów przetwarzania danych
PNR, o usunięcie których wnosi właściwy organ;
2)
oznaczenie sprawy, w której dane PNR lub wyniki ich przetwarzania były wykorzystywane;
3)
podstawę prawną wniosku;
4)
nazwę właściwego organu albo imię i nazwisko osoby upoważnionej przez niego do złożenia
wniosku.
Art. 28.
1.
W przypadku gdy JIP, dokonując analizy danych PNR, o której mowa w art. 12 ust. 2
pkt 7, stwierdzi potrzebę ustalenia nowych kryteriów przetwarzania danych PNR, aktualizacji
ustalonych kryteriów albo ich usunięcia, składa do właściwego organu, w formie pisemnej,
w postaci papierowej lub elektronicznej, wniosek o podjęcie działań, o których mowa
w art. 25-27.
2.
JIP usuwa kryteria przetwarzania danych PNR, jeżeli w terminie 7 dni od dnia złożenia
wniosku, o którym mowa w ust. 1, właściwy organ nie uzgodni z JIP potrzeby aktualizacji,
usunięcia albo dalszego stosowania ustalonych kryteriów przetwarzania danych PNR.
Art. 29.
1.
JIP we współpracy z właściwymi organami, nie rzadziej niż raz w roku, dokonuje okresowych
przeglądów aktualności kryteriów przetwarzania danych PNR i sporządza sprawozdanie
z wykonanego przeglądu.
2.
JIP występuje do właściwego organu o podjęcie działań, o których mowa w art. 25-27,
w przypadku gdy w wyniku okresowego przeglądu stwierdzi potrzebę ustalenia nowych
kryteriów przetwarzania danych PNR, aktualizacji ustalonych kryteriów albo ich usunięcia.
Przepis art. 28 ust. 2 stosuje się.
Art. 30.
JIP odmawia ustalenia kryteriów przetwarzania danych PNR albo ich aktualizacji, w
przypadku gdy:
1)
wniosek o ustalenie kryteriów przetwarzania danych PNR albo wniosek o aktualizację
tych kryteriów:
a)
nie został złożony przez właściwy organ albo osobę upoważnioną przez niego do jego
złożenia,
b)
nie spełnia wymogów formalnych, o których mowa, odpowiednio, w art. 25 ust. 2 pkt
2-6 lub 8 albo art. 26 ust. 2 pkt 1, 3-7 lub 9;
2)
wnioskowane kryteria przetwarzania danych PNR nie spełniają warunków określonych w
art. 24 ust. 2 lub 3.
Art. 31.
1.
Dane PNR oraz wyniki ich przetwarzania, przekazane przez JIP, mogą podlegać dalszemu
przetwarzaniu przez właściwe organy wyłącznie w celu, o którym mowa w art. 1 ust.
1.
2.
Właściwy organ może przetwarzać dane osobowe zawarte w otrzymanych od JIP danych PNR
lub wynikach ich przetwarzania bez zgody i wiedzy osoby, której te dane dotyczą.
3.
Jeżeli właściwy organ, przetwarzając dane PNR lub wyniki ich przetwarzania, uzyskał
informacje uzasadniające podejrzenie popełnienia przestępstwa lub przestępstwa skarbowego,
ściganego z urzędu, innego niż określone w art. 3, może wykorzystać te informacje
do wykrywania i ścigania tych przestępstw.
4.
Właściwy organ lub osoba przez niego upoważniona mogą upoważnić żołnierzy, funkcjonariuszy
lub pracowników pełniących służbę lub zatrudnionych w jednostkach organizacyjnych
podległych temu organowi do przetwarzania danych PNR lub wyników ich przetwarzania.
5.
Warunkiem uzyskania upoważnienia, o którym mowa w ust. 4, jest ukończenie szkolenia
w zakresie ochrony danych osobowych.
Art. 32.
1.
Dane PNR są przechowywane przez JIP przez 5 lat od dnia ich zgromadzenia, a po upływie
tego okresu podlegają niezwłocznie trwałemu usunięciu w sposób zautomatyzowany, przy
wykorzystaniu KSI PNR.
2.
W przypadku gdy w wyniku indywidualnej oceny, o której mowa w art. 20 ust. 1, ustalono,
że pozytywny wynik sprawdzenia:
1)
podlega przekazaniu przez JIP właściwemu organowi - jest on przechowywany wyłącznie
przez okres niezbędny do jego przekazania, a następnie jest on niezwłocznie trwale
usuwany przez JIP przy wykorzystaniu KSI PNR;
2)
nie podlega przekazaniu przez JIP właściwemu organowi - jest on niezwłocznie trwale
usuwany przez JIP przy wykorzystaniu KSI PNR w sposób zautomatyzowany.
3.
W przypadku, o którym mowa w ust. 2 pkt 2, pozytywny wynik sprawdzenia może być przechowywany
przez JIP w celu zapobiegania wynikom fałszywie pozytywnym, dopóki dane PNR nie zostaną
usunięte zgodnie z ust. 1.
4.
W przypadku niewykorzystania otrzymanych danych PNR lub wyników ich przetwarzania
przez właściwy organ w celu określonym w art. 1 ust. 1 lub art. 31 ust. 3, podlegają
one usunięciu przez ten organ na zasadach określonych odrębnymi przepisami dotyczącymi
przetwarzania informacji, w tym danych osobowych, przez właściwe organy.
Art. 33.
1.
Dane PNR mogące służyć do bezpośredniej identyfikacji pasażera, po upływie 6 miesięcy
od dnia ich zgromadzenia w KSI PNR, są poddawane depersonalizacji przez uczynienie
niewidocznymi dla osób przetwarzających dane PNR w KSI PNR następujących kategorii
danych PNR:
1)
imienia i nazwiska lub imion i nazwisk pasażera, a także liczby oraz imion i nazwisk
innych pasażerów wymienionych w danych PNR dotyczących dokonanej rezerwacji;
2)
adresu, numer telefonu i adresu e-mail pasażera;
3)
informacji dotyczących płatności obejmujących numer karty płatniczej, informacji o
płatności gotówką, informacji znajdujących się na fakturze albo na innym dowodzie
płatności za bilet oraz informacji zawartych w poleceniu przelewu: numerów rachunków
bankowych nadawcy i odbiorcy, imion i nazwisk lub nazwy nadawcy i odbiorcy, kwoty
i waluty przelewu, daty i czasu wykonania przelewu oraz jego tytułu;
4)
informacji o programach lojalnościowych;
5)
informacji dotyczących osoby małoletniej podróżującej bez opieki statkiem powietrznym,
obejmujących:
a)
imię i nazwisko (imiona i nazwiska), płeć, wiek, języki, którymi włada osoba małoletnia,
b)
imię i nazwisko (imiona i nazwiska) opiekuna osoby małoletniej w momencie startu tego
statku, jego adres, numer telefonu, adres e-mail, rodzaj i numer dokumentu tożsamości
oraz rodzaj więzi łączącej go z osobą małoletnią,
c)
imię i nazwisko (imiona i nazwiska) opiekuna osoby małoletniej w momencie lądowania
tego statku, jego adres, numer telefonu, adres e-mail, rodzaj i numer dokumentu tożsamości
oraz rodzaj więzi łączącej go z osobą małoletnią,
d)
imię i nazwisko (imiona i nazwiska) przedstawiciela przewoźnika lotniczego obecnego
przy odlocie i przylocie;
6)
danych API.
2.
Po upływie okresu, o którym mowa w ust. 1, ujawnienie zdepersonalizowanych danych
PNR przez JIP jest dopuszczalne wyłącznie, gdy uzyskano zgodę:
1)
w przypadku postępowania przed sądem - sądu prowadzącego postępowanie;
2)
w przypadku postępowania przygotowawczego - prokuratora prowadzącego lub nadzorującego
postępowanie;
3)
w przypadku czynności operacyjno-rozpoznawczych - prokuratora okręgowego właściwego
ze względu na siedzibę organu wykonującego te czynności.
3.
Zgoda, o której mowa w ust. 2, jest wydawana, w przypadku gdy przetwarzanie zdepersonalizowanych
danych PNR jest niezbędne do realizacji celu określonego w art. 1 ust. 1.
4.
Właściwy organ, osoba przez niego upoważniona lub inna osoba upoważniona w trybie,
o którym mowa w art. 31 ust. 4, składa wniosek o wyrażenie zgody na ujawnienie zdepersonalizowanych
danych PNR. Do wniosku dołącza się wniosek o przekazanie danych PNR.
5.
Zgoda, o której mowa w ust. 2, jest udzielana na wniosku o przekazanie danych PNR.
Art. 34.
1.
JIP prowadzi dokumentację dotyczącą przetwarzania danych PNR lub wyników ich przetwarzania
zawierającą:
1)
imiona i nazwiska osób wykonujących zadania w JIP, przetwarzających dane PNR;
2)
wnioski złożone przez właściwe organy, JIP PCz, właściwe organy PCz i Europol oraz
informacje o przekazaniu danych PNR lub wyników ich przetwarzania lub odmowie ich
przekazania;
3)
wnioski o przekazanie danych PNR lub wyników ich przetwarzania złożone przez państwo
trzecie, informacje o przekazaniu danych PNR lub wyników ich przetwarzania lub odmowie
ich przekazania;
4)
wnioski o ustalenie, aktualizację oraz usunięcie kryteriów przetwarzania danych PNR.
2.
Wnioski:
1)
o których mowa w ust. 1,
2)
właściwego organu do JIP o:
a)
przekazanie danych PNR,
b)
przekazanie danych PNR przez przewoźnika lotniczego w terminach innych niż określone
w art. 6 ust. 1,
c)
ustalenie kryteriów przetwarzania danych PNR,
d)
aktualizację kryteriów przetwarzania danych PNR,
e)
usunięcie kryteriów przetwarzania danych PNR
- podlegają rejestracji w KSI PNR.
3.
JIP prowadzi dokumentację w formie pisemnej, w postaci papierowej lub elektronicznej,
w tym przy wykorzystaniu KSI PNR, w sposób zapewniający bezpieczeństwo danych przed
ich przypadkowym lub nielegalnym zniszczeniem, przypadkową utratą, modyfikacją, nieuprawnionym
ujawnieniem lub dostępem do nich, a także wszelkimi innymi niedozwolonymi formami
przetwarzania oraz zapewniający rozliczalność czynności wykonanych podczas przetwarzania
danych PNR.
4.
JIP, przy wykorzystaniu KSI PNR, prowadzi ewidencje dotyczące gromadzenia, przeglądania,
przekazywania, ujawniania i usuwania danych PNR lub wyników ich przetwarzania.
5.
Ewidencja dotycząca gromadzenia danych PNR zawiera datę i godzinę każdej operacji
oraz dane przewoźnika lotniczego, który przekazał takie dane.
6.
Ewidencja dotycząca przeglądania, przekazywania i ujawniania danych PNR lub wyników
ich przetwarzania zawiera określenie celu, datę i godzinę każdej operacji oraz imię
i nazwisko osoby, która przeglądała, przekazała lub ujawniła dane PNR lub wyniki ich
przetwarzania, a także - w przypadku odbiorcy danych PNR lub wyników ich przetwarzania
- imię i nazwisko osoby lub nazwę podmiotu.
7.
Ewidencja dotycząca usuwania danych PNR zawiera przyczynę ich usunięcia, datę i godzinę
każdej operacji oraz imię i nazwisko osoby, która usunęła dane PNR.
8.
Ewidencje, o których mowa w ust. 4, są wykorzystywane w celu weryfikacji i monitorowania
działalności JIP, a także stwierdzenia integralności oraz zapewnienia bezpieczeństwa
danych PNR.
9.
Dane zgromadzone w ewidencjach, o których mowa w ust. 4, są przechowywane przez 5
lat od dnia ich wpisu do ewidencji, a następnie podlegają niezwłocznemu usunięciu,
w sposób trwały, przez JIP, przy wykorzystaniu KSI PNR.
Art. 35.
Rada Ministrów określi, w drodze rozporządzenia:
1)
sposób i tryb kierowania przez właściwe organy do JIP wniosków o:
a)
przekazanie danych PNR,
b)
przekazanie danych PNR przez przewoźnika lotniczego w terminach innych niż określone
w art. 6 ust. 1,
c)
ustalenie kryteriów przetwarzania danych PNR,
d)
aktualizację kryteriów przetwarzania danych PNR,
e)
usunięcie kryteriów przetwarzania danych PNR,
2)
tryb przeprowadzania okresowych przeglądów aktualności kryteriów przetwarzania danych
PNR oraz zakres sporządzanego sprawozdania z wykonanego przeglądu,
3)
sposób przekazywania właściwemu organowi danych PNR lub wyników ich przetwarzania
przez JIP,
4)
sposób rejestrowania przez JIP wniosków, o których mowa w pkt 1
- uwzględniając konieczność szczególnej ochrony danych osobowych przetwarzanych w
ramach danych PNR, zapewnienia efektywnej współpracy z właściwymi organami oraz konieczność
zapewnienia sprawnego postępowania przy przyjmowaniu wniosków i dokumentowania przetwarzania
danych PNR, a także rozliczalności wykonanych czynności.
Rozdział 5
Właściwe organy
Art. 36.
Właściwymi organami są:
1)
Generalny Inspektor Informacji Finansowej;
2)
Komendant Główny Policji;
3)
Komendant Główny Straży Granicznej;
4)
Komendant Główny Żandarmerii Wojskowej;
5)
Prokurator Krajowy;
6)
Szef Agencji Bezpieczeństwa Wewnętrznego;
7)
Szef Agencji Wywiadu;
8)
Szef Centralnego Biura Antykorupcyjnego;
9)
Szef Krajowej Administracji Skarbowej;
10)
Szef Służby Kontrwywiadu Wojskowego;
11)
Szef Służby Wywiadu Wojskowego.
Art. 37.
1.
Właściwy organ, o którym mowa w art. 36 pkt 1, 2 i 4-11, wyznacza punkt kontaktowy
właściwy w sprawach przetwarzania danych PNR, o czym zawiadamia pisemnie Komendanta
Głównego Straży Granicznej.
2.
W zakresie współpracy z JIP punkt kontaktowy:
1)
przekazuje do JIP wnioski o:
a)
przekazanie danych PNR,
b)
ustalenie, aktualizację lub usunięcie kryteriów przetwarzania danych PNR;
2)
przekazuje właściwemu organowi, osobie przez niego upoważnionej lub innej osobie upoważnionej
w trybie, o którym mowa w art. 31 ust. 4, otrzymane od JIP dane PNR lub wyniki ich
przetwarzania;
3)
sprawdza, czy wnioski spełniają wymogi formalne.
3.
Właściwy organ występuje z wnioskiem do JIP za pośrednictwem punktu kontaktowego.
4.
Właściwy organ niezwłocznie zawiadamia, w formie pisemnej, w postaci papierowej lub
elektronicznej, Komendanta Głównego Straży Granicznej o każdej zmianie adresu, numeru
telefonu lub adresu e-mail punktu kontaktowego lub właściwości w zakresie zapobiegania,
wykrywania, zwalczania lub ścigania sprawców przestępstw lub przestępstw skarbowych,
o których mowa w art. 3.
Art. 38.
1.
Właściwy organ, o którym mowa w art. 36 pkt 1, 2 i 4-11, może upoważnić podległych
żołnierzy, funkcjonariuszy lub pracowników realizujących zadania w punkcie kontaktowym
do wykonywania jego uprawnień w zakresie występowania do JIP z wnioskiem o przekazanie
danych PNR lub o ustalenie, aktualizację lub usunięcie kryteriów przetwarzania danych
PNR lub do otrzymywania danych PNR lub wyników ich przetwarzania, o czym informuje,
w formie pisemnej, w postaci papierowej lub elektronicznej, Komendanta Głównego Straży
Granicznej.
2.
Komendant Główny Straży Granicznej może upoważnić podległych funkcjonariuszy lub pracowników
do wykonywania jego uprawnień w zakresie występowania do JIP z wnioskiem o przekazanie
danych PNR lub o ustalenie, aktualizację lub usunięcie kryteriów przetwarzania danych
PNR lub do otrzymywania danych PNR lub wyników ich przetwarzania.
3.
Warunkiem wydania upoważnień, o których mowa w ust. 1 i 2, jest ukończenie szkolenia
w zakresie ochrony danych osobowych.
Rozdział 6
Współpraca międzynarodowa w zakresie wymiany danych PNR
Oddział 1
Wymiana danych PNR z państwami członkowskimi
Art. 39.
JIP przekazuje do właściwej JIP PCz dane PNR lub wyniki ich przetwarzania, które uzyskała:
1)
w wyniku sprawdzeń pasażerów lotów PNR w trybie określonym w art. 19;
2)
na uzasadniony wniosek JIP PCz.
Art. 40.
1.
Przed przekazaniem do właściwej JIP PCz danych PNR lub wyników ich przetwarzania uzyskanych
w wyniku sprawdzeń pasażerów lotów PNR w trybie określonym w art. 19, pozytywny wynik
sprawdzenia podlega indywidualnej ocenie, o której mowa w art. 20 ust. 1, w celu zidentyfikowania
osób, wobec których konieczne jest podjęcie dalszych działań przez JIP PCz lub właściwe
organy PCz.
2.
W przypadku zidentyfikowania osób, wobec których jest konieczne podjęcie dalszych
działań przez JIP PCz lub właściwe organy PCz, dane PNR lub wyniki ich przetwarzania
podlegają niezwłocznemu przekazaniu przez JIP właściwej JIP PCz.
3.
W przypadku gdy w wyniku indywidualnej oceny, o której mowa w art. 20 ust. 1, ustalono,
że pozytywny wynik sprawdzenia:
1)
podlega przekazaniu przez JIP właściwej JIP PCz - jest on przechowywany wyłącznie
przez okres niezbędny do przekazania, a następnie jest niezwłocznie trwale usuwany
przez JIP przy wykorzystaniu KSI PNR;
2)
nie podlega przekazaniu przez JIP właściwej JIP PCz - jest on niezwłocznie trwale
usuwany przez JIP przy wykorzystaniu KSI PNR, w sposób zautomatyzowany.
4.
W przypadku, o którym mowa w ust. 3 pkt 2, pozytywny wynik sprawdzenia może być przechowywany
przez JIP w celu zapobiegania wynikom fałszywie pozytywnym, dopóki dane PNR nie zostaną
usunięte zgodnie z art. 32 ust. 1.
Art. 41.
1.
JIP weryfikuje podstawę prawną i cel wniosku o przekazanie danych PNR lub wyników
ich przetwarzania do właściwej JIP PCz.
2.
Realizacja wniosku o przekazanie danych PNR lub wyników ich przetwarzania do właściwej
JIP PCz następuje po dokonaniu przez JIP indywidualnej oceny, w sposób niezautomatyzowany,
w celu ustalenia, czy dane PNR lub wyniki ich przetwarzania są identyczne lub zbieżne
z zakresem wniosku.
3.
W przypadku stwierdzenia identyczności lub zbieżności uzyskanych danych PNR lub wyników
ich przetwarzania z zakresem wniosku o przekazanie danych PNR lub wyników ich przetwarzania
do właściwej JIP PCz, JIP niezwłocznie przekazuje je JIP PCz.
4.
Realizacja wniosku o przekazanie danych PNR lub wyników ich przetwarzania do właściwej
JIP PCz, w zakresie przekazania wyników przetwarzania danych PNR, uzyskanych w wyniku
sprawdzeń pasażerów lotów PNR w trybie określonym w art. 19, następuje, jeżeli uprzednio
dokonano tych sprawdzeń, o ile wyniki te nie zostały usunięte.
5.
Wniosek o przekazanie danych PNR lub wyników ich przetwarzania do właściwej JIP PCz
może dotyczyć określonych elementów kategorii danych PNR, służących do realizacji
celu, o którym mowa w art. 1 ust. 1.
Art. 42.
1.
W przypadku gdy dane PNR będące przedmiotem wniosku o przekazanie danych PNR lub wyników
ich przetwarzania do właściwej JIP PCz zostały poddane depersonalizacji zgodnie z
art. 33 ust. 1, JIP przekazuje te dane, jeżeli uzyskała na to zgodę prokuratora okręgowego
właściwego miejscowo ze względu na siedzibę JIP.
2.
Zgoda, o której mowa w ust. 1, jest wydawana, w przypadku gdy przetwarzanie zdepersonalizowanych
danych PNR jest niezbędne do realizacji celu określonego w art. 1 ust. 1.
3.
JIP, występując do prokuratora okręgowego o wyrażenie zgody, o której mowa w ust.
1, dołącza do tego wystąpienia, w szczególności, wniosek o przekazanie danych PNR
lub wyników ich przetwarzania do właściwej JIP PCz i informację o zdepersonalizowaniu
wnioskowanych danych PNR.
4.
Prokurator okręgowy wydaje zgodę, o której mowa w ust. 1, albo odmawia jej wydania
niezwłocznie, odnotowując ten fakt na wniosku JIP.
5.
Odmowę wydania zgody, o której mowa w ust. 1, prokurator okręgowy uzasadnia pisemnie.
Art. 43.
1.
W przypadkach niecierpiących zwłoki, na uzasadniony wniosek właściwych organów PCz,
JIP przekazuje dane PNR lub wyniki ich przetwarzania bezpośrednio do tych organów,
zawiadamiając o tym jednocześnie właściwą JIP PCz.
2.
Do przekazania danych PNR lub wyników ich przetwarzania zgodnie z ust. 1 stosuje się
przepisy art. 41 i art. 42.
Art. 44.
1.
JIP, na uzasadniony wniosek JIP PCz, w przypadku bezpośredniego i rzeczywistego zagrożenia
przestępstwem lub przestępstwem skarbowym, o których mowa w art. 3, może zwrócić się
do przewoźnika lotniczego o przekazanie danych PNR w terminach innych niż określone
w art. 6 ust. 1. Przepisy art. 7 ust. 4-6 stosuje się odpowiednio.
2.
JIP, po otrzymaniu danych PNR od przewoźnika lotniczego, przekazuje je niezwłocznie
JIP PCz.
Art. 45.
JIP odmawia przekazania danych PNR lub wyników ich przetwarzania do JIP PCz lub właściwego
organu PCz, w przypadku gdy:
1)
wniosek o przekazanie danych PNR lub wyników ich przetwarzania nie został złożony
przez JIP PCz lub właściwy organ PCz;
2)
nie zostały spełnione przesłanki określone w art. 43 lub art. 44;
3)
wniosek o przekazanie danych PNR lub wyników ich przetwarzania nie zawiera uzasadnienia
wskazującego, że dostęp do danych PNR lub wyników ich przetwarzania jest niezbędny;
4)
przetwarzanie przekazanych danych PNR lub wyników ich przetwarzania miałoby nastąpić
w celu innym niż określony w art. 1 ust. 1;
5)
nie uzyskano wymaganej zgody, o której mowa w art. 42 ust. 1.
Art. 46.
1.
Dane PNR lub wyniki ich przetwarzania, zgromadzone przez JIP PCz, są uzyskiwane na
wniosek właściwego organu, za pośrednictwem JIP. Do wniosku stosuje się odpowiednio
przepisy art. 21 ust. 3 i ust. 4 pkt 2 oraz uzupełnia się go o wskazanie państwa członkowskiego,
które zgromadziło dane PNR. Wniosek o przekazanie danych PNR lub wyników ich przetwarzania
może dotyczyć określonych elementów kategorii danych PNR, służących do realizacji
celu, o którym mowa w art. 1 ust. 1.
2.
W przypadku bezpośredniego i rzeczywistego zagrożenia przestępstwem lub przestępstwem
skarbowym, o których mowa w art. 3, właściwy organ może wystąpić z wnioskiem do JIP
PCz, za pośrednictwem JIP, o przekazanie danych PNR przez przewoźnika lotniczego w
terminach innych niż określone w art. 6 ust. 1.
3.
Dane PNR lub wyniki ich przetwarzania, otrzymane od JIP PCz na wniosek, o którym mowa
w ust. 1 lub 2, podlegają niezwłocznie przekazaniu przez JIP właściwemu organowi,
który złożył wniosek.
4.
Do danych PNR lub wyników ich przetwarzania przekazanych przez JIP PCz z własnej inicjatywy
stosuje się przepisy art. 19 i art. 20 ust. 1. Dane te podlegają niezwłocznie przekazaniu
przez JIP właściwemu organowi.
Art. 47.
1.
W przypadkach niecierpiących zwłoki właściwy organ może złożyć uzasadniony wniosek
o przekazanie danych PNR lub wyników ich przetwarzania zgromadzonych w bazie danych
JIP PCz, w celu określonym w art. 1 ust. 1, bezpośrednio do JIP PCz.
2.
Do wniosku, o którym mowa w ust. 1, stosuje się odpowiednio przepisy art. 21 ust.
3 i ust. 4 pkt 2. W uzasadnieniu wniosku wskazuje się okoliczności uzasadniające zastosowanie
trybu, o którym mowa w ust. 1.
3.
Wniosek, o którym mowa w ust. 1, może dotyczyć określonych elementów kategorii danych
PNR, służących do realizacji celu, o którym mowa w art. 1 ust. 1.
4.
Właściwy organ przekazuje niezwłocznie JIP kopię wniosku, o którym mowa w ust. 1.
Art. 48.
Składanie wniosków oraz przekazywanie danych PNR lub wyników ich przetwarzania w zakresie
współpracy między państwami członkowskimi odbywa się za pośrednictwem dostępnych kanałów
wymiany informacji, w tym systemów teleinformatycznych.
Oddział 2
Przekazywanie Europolowi danych PNR przez JIP
Art. 49.
JIP przekazuje Europolowi dane PNR lub wyniki ich przetwarzania, które uzyskała:
1)
w wyniku sprawdzeń pasażerów lotów PNR w trybie określonym w art. 19;
2)
na uzasadniony wniosek Europolu, umożliwiający mu udzielenie, w zakresie jego właściwości,
wsparcia działań państw członkowskich, w celu określonym w art. 1 ust. 1.
Art. 50.
1.
Przed przekazaniem Europolowi danych PNR lub wyników ich przetwarzania uzyskanych
w wyniku sprawdzeń pasażerów lotów PNR w trybie określonym w art. 19, pozytywny wynik
sprawdzenia podlega indywidualnej ocenie, o której mowa w art. 20 ust. 1, w celu zidentyfikowania
osób, wobec których konieczne jest podjęcie dalszych działań przez Europol w zakresie
jego właściwości.
2.
W przypadku zidentyfikowania osób, wobec których jest konieczne podjęcie dalszych
działań przez Europol, dane PNR lub wyniki ich przetwarzania podlegają niezwłocznemu
przekazaniu przez JIP Europolowi.
3.
W przypadku gdy w wyniku indywidualnej oceny, o której mowa w art. 20 ust. 1, ustalono,
że pozytywny wynik sprawdzenia:
1)
podlega przekazaniu przez JIP Europolowi - jest on przechowywany wyłącznie przez okres
niezbędny do ich przekazania, a następnie jest niezwłocznie trwale usuwany przez JIP
przy wykorzystaniu KSI PNR;
2)
nie podlega przekazaniu przez JIP Europolowi - jest on niezwłocznie trwale usuwany
przez JIP przy wykorzystaniu KSI PNR, w sposób zautomatyzowany.
4.
W przypadku, o którym mowa w ust. 3 pkt 2, pozytywny wynik sprawdzenia może być przechowywany
przez JIP w celu zapobiegania wynikom fałszywie pozytywnym, dopóki dane PNR nie zostaną
usunięte zgodnie z art. 32 ust. 1.
Art. 51.
1.
JIP weryfikuje podstawę prawną i cel wniosku o przekazanie danych PNR lub wyników
ich przetwarzania Europolowi.
2.
Realizacja wniosku o przekazanie danych PNR lub wyników ich przetwarzania Europolowi
następuje po dokonaniu przez JIP indywidualnej oceny, w sposób niezautomatyzowany,
w celu ustalenia, czy dane PNR lub wyniki ich przetwarzania są identyczne lub zbieżne
z zakresem wniosku.
3.
W przypadku stwierdzenia identyczności lub zbieżności uzyskanych danych PNR lub wyników
ich przetwarzania z zakresem wniosku o przekazanie danych PNR lub wyników ich przetwarzania
Europolowi, JIP niezwłocznie przekazuje je Europolowi.
4.
Realizacja wniosku o przekazanie danych PNR lub wyników ich przetwarzania Europolowi,
w zakresie przekazania wyników przetwarzania danych PNR, uzyskanych w wyniku sprawdzeń
pasażerów lotów PNR w trybie określonym w art. 19, następuje, jeżeli uprzednio dokonano
tych sprawdzeń, o ile wyniki te nie zostały usunięte.
5.
Wniosek o przekazanie danych PNR lub wyników ich przetwarzania Europolowi może dotyczyć
określonych elementów kategorii danych PNR, służących do realizacji celu, o którym
mowa w art. 1 ust. 1.
6.
Przekazywanie Europolowi danych PNR lub wyników ich przetwarzania odbywa się za pośrednictwem
dostarczanej przez Europol aplikacji sieci bezpiecznej wymiany informacji SIENA, służącej
do wymiany informacji między państwami członkowskimi Unii Europejskiej, Europolem,
innymi organami Unii Europejskiej, państwami trzecimi i organizacjami międzynarodowymi,
w celu współpracy w zwalczaniu przestępczości.
7.
W przypadku przekazywania danych PNR, które zostały poddane depersonalizacji, stosuje
się przepis art. 42.
Art. 52.
JIP odmawia przekazania danych PNR lub wyników ich przetwarzania do Europolu, w przypadku
gdy:
1)
wniosek o przekazanie danych PNR lub wyników ich przetwarzania nie zawiera uzasadnienia
wskazującego, że dostęp do danych PNR lub wyników ich przetwarzania jest niezbędny;
2)
przetwarzanie przekazanych danych PNR lub wyników ich przetwarzania miałoby nastąpić
w celu innym niż udzielenie przez Europol, w zakresie jego właściwości, wsparcia dla
działań państw członkowskich, w celu określonym w art. 1 ust. 1;
3)
nie uzyskano wymaganej zgody prokuratora okręgowego właściwego miejscowo ze względu
na siedzibę JIP na przekazanie danych PNR lub wyników ich przetwarzania, które zostały
poddane depersonalizacji;
4)
przestępstwo lub przestępstwo skarbowe, w związku z którym Europol złożył wniosek,
nie należy do zakresu jego właściwości.
Oddział 3
Przekazywanie danych PNR do państw trzecich
Art. 53.
1.
JIP może przekazać dane PNR lub wyniki ich przetwarzania państwu trzeciemu, na jego
wniosek, w przypadku gdy:
1)
ich przekazanie jest konieczne dla realizacji celu, o którym mowa w art. 1 ust. 1;
2)
organ państwa trzeciego, któremu mają one zostać przekazane, jest właściwy w sprawach
wykrywania i zwalczania przestępstw oraz zapobiegania im i ścigania ich sprawców,
w zakresie, o którym mowa w art. 1 ust. 1;
3)
państwo trzecie zapewnia odpowiedni poziom ochrony przekazywanych danych określony
w odrębnych przepisach;
4)
JIP PCz, od której je otrzymano, wyraziła na to zgodę;
5)
państwo trzecie zapewni, że przekaże je innemu państwu trzeciemu wyłącznie, gdy jest
to konieczne dla realizacji celu, o którym mowa w art. 1 ust. 1, i po uzyskaniu uprzedniej
zgody JIP.
2.
Jeżeli państwo trzecie nie zapewnia odpowiedniego poziomu ochrony przekazywanych danych,
przekazanie mu danych PNR lub wyników ich przetwarzania może nastąpić wyłącznie w
przypadku, gdy:
1)
jest to niezbędne ze względu na bezpieczeństwo publiczne lub porządek publiczny;
2)
zostaną spełnione warunki określone w art. 47 ust. 2 lub art. 48 ust. 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie
danych osobowych .
3.
Przekazywanie danych PNR lub wyników ich przetwarzania państwu trzeciemu odbywa się
za pośrednictwem bezpiecznych kanałów wymiany informacji, w tym systemów teleinformatycznych,
jak również za pośrednictwem oficerów łącznikowych.
4.
Do przekazania danych PNR lub wyników ich przetwarzania państwu trzeciemu stosuje
się, odpowiednio, przepisy art. 41 i art. 42.
Art. 54.
1.
JIP może przekazać dane PNR lub wyniki ich przetwarzania państwu trzeciemu, bez uprzedniej
zgody JIP PCz, od której je uzyskano, w przypadku gdy:
1)
ich przekazanie jest niezbędne do przeciwdziałania bezpośredniemu i rzeczywistemu
zagrożeniu przestępstwem lub przestępstwem skarbowym, o których mowa w art. 3, oraz
2)
nie można uzyskać zgody JIP PCz w przewidzianym terminie.
2.
JIP zawiadamia niezwłocznie JIP PCz, od której uzyskano dane PNR lub wyniki ich przetwarzania,
o ich przekazaniu na warunkach, o których mowa w ust. 1, oraz o możliwości weryfikacji
podstaw tego przekazania.
Art. 55.
JIP zawiadamia Inspektora o przekazaniu danych PNR lub wyników ich przetwarzania państwu
trzeciemu.
Art. 56.
JIP odmawia przekazania danych PNR lub wyników ich przetwarzania państwu trzeciemu,
w przypadku gdy:
1)
nie zostały spełnione warunki określone w art. 53 ust. 1 lub 2 albo art. 54 ust. 1;
2)
wniosek o przekazanie danych PNR lub wyników ich przetwarzania nie zawiera uzasadnienia
wskazującego, że dostęp do danych PNR lub wyników ich przetwarzania jest niezbędny;
3)
przetwarzanie przekazanych danych PNR lub wyników ich przetwarzania miałoby nastąpić
w celu innym niż określony w art. 1 ust. 1;
4)
nie uzyskano wymaganej zgody prokuratora okręgowego właściwego miejscowo ze względu
na siedzibę JIP na przekazanie danych PNR lub wyników ich przetwarzania, które zostały
poddane depersonalizacji;
5)
zagraża to rażącym naruszeniem praw człowieka.
Art. 57.
JIP może dokonać weryfikacji podstaw przekazania państwu trzeciemu przez JIP PCz bez
uprzedniej zgody JIP danych PNR lub wyników ich przetwarzania otrzymanych od JIP.
W tym celu JIP może zwrócić się pisemnie do JIP PCz o informacje w zakresie podstaw
i okoliczności przekazania danych PNR lub wyników ich przetwarzania państwu trzeciemu
bez uprzedniej zgody JIP.
Rozdział 7
Ochrona danych osobowych
Art. 58.
1.
Inspektor odpowiada za monitorowanie przetwarzania danych PNR przez JIP.
2.
Komendant Główny Straży Granicznej wyznacza Inspektora spośród osób posiadających
wiedzę i doświadczenie w zakresie stosowania przepisów prawa w dziedzinie ochrony
danych osobowych. W zakresie wykonywania swoich zadań Inspektor jest niezależny od
JIP i podlega bezpośrednio Komendantowi Głównemu Straży Granicznej.
Art. 59.
1.
Inspektor:
1)
udziela, na wniosek osoby, której dane PNR są przetwarzane, informacji o ich przetwarzaniu;
2)
sprawuje nadzór nad zgodnością przetwarzania danych PNR przez JIP z przepisami niniejszej
ustawy oraz ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych;
3)
udziela informacji i wyjaśnień na żądanie Generalnego Inspektora Ochrony Danych Osobowych.
2.
Inspektor jest uprawniony do:
1)
dostępu do danych PNR przetwarzanych przez JIP;
2)
dostępu do KSI PNR oraz dokumentacji i ewidencji dotyczących przetwarzania danych
PNR;
3)
uzyskiwania informacji i wyjaśnień od JIP;
4)
informowania Generalnego Inspektora Ochrony Danych Osobowych o niezgodnym z prawem
przetwarzaniu danych PNR przez JIP;
5)
prowadzenia korespondencji z Inspektorami w JIP PCz oraz Generalnym Inspektorem Ochrony
Danych Osobowych, w zakresie przetwarzania danych PNR;
6)
otrzymywania informacji o przekazaniu przez JIP danych PNR lub wyników ich przetwarzania
państwu trzeciemu.
Art. 60.
1.
Osoba, której dane PNR są przetwarzane przez JIP, może kontaktować się z Inspektorem
w sprawach związanych z ich przetwarzaniem.
2.
Komendant Główny Straży Granicznej udostępnia w Biuletynie Informacji Publicznej na
stronie podmiotowej Komendy Głównej Straży Granicznej informacje dotyczące sposobu
kontaktowania się z Inspektorem w sprawach dotyczących przetwarzania danych PNR.
Art. 61.
1.
Inspektor dokonuje analizy stwierdzonych naruszeń w zakresie przetwarzania danych
PNR i może o nich zawiadomić Generalnego Inspektora Ochrony Danych Osobowych.
2.
W przypadku gdy naruszenie przepisów dotyczących ochrony danych osobowych może spowodować
poważne zagrożenie dla ochrony tych danych lub naruszać prywatność osoby, której te
dane dotyczą, JIP za pośrednictwem Inspektora zawiadamia niezwłocznie osobę, której
dane osobowe są przetwarzane, oraz Generalnego Inspektora Ochrony Danych Osobowych
o tym zagrożeniu.
Art. 62.
1.
Generalny Inspektor Ochrony Danych Osobowych udziela informacji osobom, których dane
PNR są przetwarzane, oraz monitoruje przetwarzanie danych PNR, w tym kontroluje ich
przekazywanie.
2.
Generalny Inspektor Ochrony Danych Osobowych, na wniosek osoby, której dane PNR są
przetwarzane, udziela informacji o jej prawach w zakresie przetwarzania jej danych
PNR na podstawie niniejszej ustawy.
3.
Generalny Inspektor Ochrony Danych Osobowych, w ramach monitorowania przetwarzania
danych PNR:
1)
rozpatruje skargi złożone przez osoby, których dane PNR są przetwarzane;
2)
sprawdza zgodność przetwarzania danych PNR z prawem, prowadzi postępowania i wykonuje
inne czynności, zgodnie z ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, z własnej inicjatywy lub na podstawie skargi osoby, której dane PNR są przetwarzane.
4.
JIP, na wniosek Generalnego Inspektora Ochrony Danych Osobowych, udostępnia mu dokumentację
dotyczącą przetwarzania danych PNR oraz informacje z ewidencji dotyczących ich przetwarzania.
Art. 63.
1.
Generalny Inspektor Ochrony Danych Osobowych sprawuje kontrolę nad tym, czy przetwarzanie
danych PNR nie narusza praw osób, których te dane są przetwarzane.
2.
Generalny Inspektor Ochrony Danych Osobowych jest uprawniony do bezpośredniego dostępu
do KSI PNR w celu sprawowania kontroli, o której mowa w ust. 1.
3.
Kontrola, o której mowa w ust. 1, jest sprawowana zgodnie z przepisami ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.
Rozdział 8
Administracyjne kary pieniężne
Art. 64.
1.
Przewoźnik lotniczy, który:
1)
nie przekazuje danych PNR do JIP w terminie, o którym mowa w art. 6 ust. 1, podlega
administracyjnej karze pieniężnej w wysokości 20 000 zł,
2)
nie przekazuje do JIP wszystkich zgromadzonych, w celu dokonania rezerwacji lub realizacji
lotu PNR, elementów kategorii danych PNR, o których mowa w art. 10 ust. 1 pkt 4, do
których przekazania był zobowiązany na podstawie art. 5 ust. 1, podlega administracyjnej
karze pieniężnej w wysokości 12 000 zł
- za każdy lot PNR, w którym takie naruszenie nastąpiło.
2.
Przewoźnik lotniczy, który nie przekazuje danych PNR:
1)
w wybranym przez siebie formacie danych spośród formatów określonych w przepisach
wykonawczych wydanych na podstawie art. 8 ust. 3 pkt 1 lub
2)
w formacie danych zgodnym z formatem określonym w przepisach wykonawczych wydanych
na podstawie art. 8 ust. 3 pkt 2, w przypadku przekazywania danych API, które przewoźnicy
lotniczy gromadzą odrębnie od pozostałych danych PNR dla tego samego lotu PNR, albo
3)
za pomocą środków komunikacji elektronicznej uzgodnionych z Komendantem Głównym Straży
Granicznej i zabezpieczonych w sposób z nim uzgodniony w przypadku, o którym mowa
w art. 8 ust. 4, albo
4)
w sposób uzgodniony z JIP w przypadku, o którym mowa w art. 8 ust. 5
- podlega administracyjnej karze pieniężnej w wysokości 16 000 zł za każdy lot PNR,
w którym takie naruszenie nastąpiło.
3.
W przypadku gdy przewoźnik lotniczy dopuszcza się naruszeń, o których mowa w ust.
1 i 2, w zakresie obowiązku przekazywania danych PNR na wniosek JIP, o którym mowa
w art. 7 ust. 4, podlega administracyjnej karze pieniężnej w wysokości określonej
odpowiednio w ust. 1 i 2, obniżonej o 50% za każdy lot PNR, w którym takie naruszenie
nastąpiło.
Art. 65.
1.
Administracyjne kary pieniężne, o których mowa w art. 64, nakłada się za niedopełnienie
obowiązku przekazania danych PNR dla każdego z terminów określonych w art. 6 ust.
1.
2.
W przypadku gdy naruszenie, o którym mowa w art. 64 ust. 1:
1)
pkt 1, dotyczące niedopełnienia obowiązku przekazania danych PNR w terminie określonym
w art. 6 ust. 1 pkt 1, zostało usunięte przez przewoźnika w terminie 6 godzin przed
planowanym startem statku powietrznego,
2)
pkt 2, zostało usunięte przez przewoźnika w terminie do czasu lądowania statku powietrznego
- administracyjną karę pieniężną nakłada się w wysokości obniżonej o 50%.
3.
W przypadku gdy naruszenie, o którym mowa w art. 64 ust. 1 pkt 1, dotyczące niedopełnienia
obowiązku przekazania danych PNR w terminie określonym w art. 6 ust. 1 pkt 2, zostało
usunięte przez przewoźnika w terminie do czasu lądowania statku powietrznego, administracyjną
karę pieniężną za takie naruszenie nakłada się w wysokości obniżonej o 50%.
4.
W przypadku wystąpienia więcej niż jednego z naruszeń, o których mowa w art. 64 ust.
1 lub 2, podczas jednego lotu PNR, administracyjne kary pieniężne z tytułu tych naruszeń
sumuje się. Suma administracyjnych kar pieniężnych nałożonych na podstawie art. 64
ust. 1 i 2 z tytułu jednego lotu PNR nie może przekroczyć wysokości 40 000 zł.
5.
W przypadku wystąpienia więcej niż jednego z naruszeń, o których mowa w art. 64 ust.
3, podczas jednego lotu PNR, administracyjne kary pieniężne z tytułu tych naruszeń
sumuje się. Suma administracyjnych kar pieniężnych nałożonych na podstawie art. 64
ust. 3 z tytułu jednego lotu PNR nie może przekroczyć wysokości 10 000 zł.
Art. 66.
1.
Przewoźnik lotniczy, który nie dopełnia obowiązków określonych w art. 10 ust. 1 lub
3 w terminach, o których mowa w tych przepisach, podlega administracyjnej karze pieniężnej
w wysokości 5000 zł za każde takie naruszenie.
2.
Tej samej karze podlega przewoźnik lotniczy, który nie dopełnia obowiązku określonego
w art. 10 ust. 4.
Art. 67.
Administracyjne kary pieniężne, o których mowa w art. 64 oraz art. 66, nakłada, w
drodze decyzji, Komendant Główny Straży Granicznej.
Art. 68.
Termin wykonania administracyjnych kar pieniężnych, o których mowa w art. 64 oraz
art. 66, wynosi 30 dni od dnia, w którym decyzja w sprawie nałożenia kary stała się
ostateczna.
Art. 69.
Przewoźnik lotniczy nie podlega administracyjnej karze pieniężnej, o której mowa w
art. 64 oraz art. 66, gdy niedopełnienie obowiązku nastąpiło wskutek:
1)
działania siły wyższej;
2)
awarii KSI PNR;
3)
awarii powstałej po stronie przewoźnika lotniczego, niezawinionej przez tego przewoźnika,
pod warunkiem poinformowania o niej JIP przed upływem terminu przekazania danych PNR.
Art. 70.
Administracyjna kara pieniężna nie może zostać nałożona, jeżeli upłynęły 3 lata od
dnia naruszenia, o którym mowa w art. 64 lub art. 66.
Art. 71.
1.
Przewoźnikowi lotniczemu, który nie ma siedziby na terytorium Rzeczypospolitej Polskiej,
pisma doręcza się w postaci dokumentów elektronicznych, za pomocą środków komunikacji
elektronicznej, w rozumieniu art. 2 pkt 5 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną , na adres wskazany zgodnie z art. 10 ust. 1 pkt 1.
2.
W przypadku gdy przewoźnik lotniczy ustanowił pełnomocnika do prowadzenia spraw albo
pełnomocnika do doręczeń, zamieszkałego albo posiadającego siedzibę w Rzeczypospolitej
Polskiej, pisma, o których mowa w ust. 1, doręcza się temu pełnomocnikowi.
Art. 72.
Do administracyjnych kar pieniężnych, o których mowa w art. 64 oraz art. 66, nie stosuje
się przepisów art. 189f i art. 189k ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego .
Art. 73.
Należności z tytułu administracyjnych kar pieniężnych, o których mowa w art. 64 oraz
art. 66, podlegają egzekucji w trybie przepisów ustawy z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji .
Art. 74.
Administracyjne kary pieniężne stanowią dochód budżetu państwa.
Rozdział 9
Zmiany w przepisach, przepisy epizodyczne i końcowe
Art. 75.
W ustawie z dnia 12 października 1990 r. o Straży Granicznej w art. 1 po ust. 3 dodaje się ust. 3a w brzmieniu:
„
3a.
Straż Graniczna realizuje zadania Krajowej Jednostki do spraw Informacji o Pasażerach,
określone w ustawie z dnia 9 maja 2018 r. o przetwarzaniu danych dotyczących przelotu pasażera .
”
.
Art. 76.
1.
W terminie 6 miesięcy od dnia wejścia w życie ustawy przepisu art. 64 nie stosuje
się do przewoźnika lotniczego, który podjął działania, mające na celu zapewnienie
warunków technicznych umożliwiających sprawne i skuteczne przekazywanie przez niego
danych PNR do JIP, i w terminie 14 dni od dnia wejścia w życie ustawy wystąpił pisemnie
do Komendanta Głównego Straży Granicznej o wpisanie na listę przewoźników lotniczych
dostosowujących się do przekazywania danych PNR do JIP.
2.
Pisemne wystąpienie przewoźnika lotniczego, o którym mowa w ust. 1, zawiera nazwę
przewoźnika oraz parametry techniczne systemu rezerwacyjnego, jeżeli dysponuje on
takim systemem, w tym informacje niezbędne do zestawienia połączenia dla wybranego
przez przewoźnika lotniczego protokołu przesyłania danych PNR do JIP.
3.
Komendant Główny Straży Granicznej ogłasza listę przewoźników lotniczych dostosowujących
się do przekazywania danych PNR do JIP w Biuletynie Informacji Publicznej na stronie
podmiotowej Komendy Głównej Straży Granicznej.
4.
Przewoźnik lotniczy wpisany na listę przewoźników lotniczych dostosowujących się do
przekazywania danych PNR do JIP informuje Komendanta Głównego Straży Granicznej o
podjętych działaniach, w szczególności o planowanym terminie rozpoczęcia przekazywania
danych PNR do JIP.
Art. 77.
Obowiązki, o których mowa w art. 10 ust. 1 lub 4, przewoźnicy lotniczy wykonujący
loty PNR w dniu wejścia w życie ustawy realizują w terminie 14 dni od tego dnia.
Art. 78.
1.
Maksymalny limit wydatków związanych z funkcjonowaniem i obsługą JIP oraz KSI PNR,
będących skutkiem finansowym wejścia w życie ustawy, wynosi 124 107 000 zł, z tego
w roku:
1)
2018 - 30 208 000 zł;
2)
2019 - 11 127 000 zł;
3)
2020 - 4 390 000 zł;
4)
2021 - 6 141 000 zł;
5)
2022 - 5 927 000 zł;
6)
2023 - 29 367 000 zł;
7)
2024 - 7 385 000 zł;
8)
2025 - 14 536 000 zł;
9)
2026 - 7 204 000 zł;
10)
2027 - 7 822 000 zł.
2.
W przypadku przekroczenia lub zagrożenia przekroczenia przyjętego w danym roku budżetowym
maksymalnego limitu wydatków, o którym mowa w ust. 1, zostaną zastosowane mechanizmy
korygujące polegające na:
1)
rozłożeniu wymiany sprzętu na kolejne lata - w przypadku wymiany sprzętu;
2)
zakupie wsparcia do licencji na krótszy okres - w przypadku zakupu wsparcia do licencji.
3.
Minister właściwy do spraw wewnętrznych monitoruje wykorzystanie limitu wydatków,
o których mowa w ust. 1, oraz wdraża mechanizmy korygujące, o których mowa w ust.
2.
Art. 79.
Ustawa wchodzi w życie po upływie 14 dni od dnia ogłoszenia.
1)
Niniejsza ustawa dokonuje w zakresie swojej regulacji wdrożenia dyrektywy Parlamentu
Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r. w sprawie wykorzystywania
danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom
terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań
przygotowawczych w ich sprawie i ich ścigania (Dz. Urz. UE L 119 z 04.05.2016, str.
132).
2)
Niniejszą ustawą zmienia się ustawę z dnia 12 października 1990 r. o Straży Granicznej.