Obwieszczenie Marszałka Sejmu Rzeczypospolitej Polskiejz dnia 30 sierpnia 2019 r.w sprawie ogłoszenia jednolitego tekstu ustawy o przetwarzaniu danych dotyczących przelotu pasażera Spis treści Treść obwieszczenia Załącznik - Tekst jednolity ustawy z dnia 9 maja 2018 r. o przetwarzaniu danych dotyczących przelotu pasażera Rozdział 1 - Przepisy ogólne Rozdział 2 - Obowiązek przekazywania danych PNR przez przewoźników lotniczych Rozdział 3 - Krajowa Jednostka do spraw Informacji o Pasażerach Rozdział 4 - Zasady przetwarzania danych PNR Rozdział 5 - Właściwe organy Rozdział 6 - Współpraca międzynarodowa w zakresie wymiany danych PNR Rozdział 7 - Ochrona danych osobowych Rozdział 8 - Administracyjne kary pieniężne Rozdział 9 - Zmiany w przepisach, przepisy epizodyczne i końcowe Treść obwieszczenia 1. Na podstawie art. 16 ust. 1 zdanie pierwsze ustawy z dnia 20 lipca 2000 r. o ogłaszaniu aktów normatywnych i niektórych innych aktów prawnych (Dz. U. z 2019 r. poz. 1461) ogłasza się w załączniku do niniejszego obwieszczenia jednolity tekst ustawy z dnia 9 maja 2018 r. o przetwarzaniu danych dotyczących przelotu pasażera (Dz. U. poz. 894), z uwzględnieniem zmian wprowadzonych ustawą z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2019 r. poz. 125) oraz zmian wynikających z przepisów ogłoszonych przed dniem 29 sierpnia 2019 r. 2. Podany w załączniku do niniejszego obwieszczenia tekst jednolity ustawy nie obejmuje: 1) art. 75 ustawy z dnia 9 maja 2018 r. o przetwarzaniu danych dotyczących przelotu pasażera (Dz. U. poz. 894), który stanowi: „ Art. 75. W ustawie z dnia 12 października 1990 r. o Straży Granicznej (Dz. U. z 2017 r. poz. 2365 i 2405 oraz z 2018 r. poz. 106, 138, 650 i 730) w art. 1 po ust. 3 dodaje się ust. 3a w brzmieniu: „ 3a. Straż Graniczna realizuje zadania Krajowej Jednostki do spraw Informacji o Pasażerach, określone w ustawie z dnia 9 maja 2018 r. o przetwarzaniu danych dotyczących przelotu pasażera (Dz. U. poz. 894).”. ” ; ” ; 2) odnośnika nr 1 oraz art. 99, art. 103 i art. 108 ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2019 r. poz. 125), które stanowią: „ 1) Niniejsza ustawa dokonuje w zakresie swojej regulacji wdrożenia dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz. Urz. UE L 119 z 04.05.2016, str. 89). ” „ Art. 99. 1. Do kontroli wszczętych na podstawie przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723) i niezakończonych przed dniem wejścia w życie niniejszej ustawy stosuje się przepisy dotychczasowe. 2. Upoważnienia oraz legitymacje służbowe wydane przed dniem wejścia w życie niniejszej ustawy zachowują ważność do czasu zakończenia kontroli, o których mowa w ust. 1. ” „ Art. 103. Wydane przed dniem wejścia w życie ustawy upoważnienia do przetwarzania danych osobowych zachowują moc przez okres 12 miesięcy od dnia wejścia w życie niniejszej ustawy. ” „ Art. 108. Ustawa wchodzi w życie po upływie 14 dni od dnia ogłoszenia, z wyjątkiem: 1) art. 58 pkt 12, który wchodzi w życie z dniem 1 listopada 2019 r.; 2) art. 82 pkt 5 w zakresie art. 25c-25h, które wchodzą w życie po upływie roku od dnia ogłoszenia. ” . Załącznik - Tekst jednolity ustawy z dnia 9 maja 2018 r. o przetwarzaniu danych dotyczących przelotu pasażera1)Niniejsza ustawa dokonuje w zakresie swojej regulacji wdrożenia dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r. w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania (Dz. Urz. UE L 119 z 04.05.2016, str. 132). Rozdział 1 Przepisy ogólne Art. 1. 1. Ustawa określa zasady i warunki przekazywania przez przewoźników lotniczych danych dotyczących przelotu pasażera oraz przetwarzania tych danych w celu wykrywania i zwalczania przestępstw o charakterze terrorystycznym i innych przestępstw lub przestępstw skarbowych oraz zapobiegania im i ścigania ich sprawców, a także podmioty właściwe w tych sprawach. 2. Ustawa nie narusza postanowień ratyfikowanych umów międzynarodowych dotyczących współpracy z państwami trzecimi w zakresie wymiany informacji w celu, o którym mowa w ust. 1. Art. 2. Użyte w ustawie określenia i skróty oznaczają: 1) dane PNR - dane dotyczące przelotu pasażera, w tym dane osobowe, które są przetwarzane w związku z prowadzeniem działalności gospodarczej przez przewoźników lotniczych w celu dokonania rezerwacji lub realizacji lotu w ramach przewozu lotniczego, podlegające przekazaniu przez przewoźnika lotniczego do JIP; 2) JIP - Krajowa Jednostka do spraw Informacji o Pasażerach; 3) JIP PCz - JIP państwa członkowskiego innego niż Rzeczpospolita Polska; 4) KSI PNR - Krajowy System Informatyczny PNR, będący systemem teleinformatycznym, w którym JIP przetwarza dane PNR lub wyniki ich przetwarzania; 5) kryteria przetwarzania danych PNR - zbiór odpowiednio dobranych informacji należących do kategorii danych PNR, umożliwiający identyfikację osób w związku z wykonywaniem sprawdzeń pasażerów lotu PNR; 6) lot PNR - lot statku powietrznego wykonującego przewóz lotniczy pasażerów, podczas którego następuje przekroczenie granicy państwowej, a start albo lądowanie statku powietrznego następuje na terytorium Rzeczypospolitej Polskiej; 7) państwo członkowskie - państwo członkowskie Unii Europejskiej, które stosuje dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r. w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania (Dz. Urz. UE L 119 z 04.05.2016, str. 132); 8) państwo trzecie - państwo niebędące państwem członkowskim; 9) pozytywny wynik sprawdzenia - efekt zautomatyzowanego przetwarzania danych PNR wskazujący na identyczność lub zbieżność danych PNR z danymi osobowymi zgromadzonymi w bazach danych wykorzystywanych do zapobiegania, wykrywania, zwalczania oraz ścigania sprawców przestępstw i przestępstw skarbowych lub z kryteriami przetwarzania danych PNR; 10) przetwarzanie danych PNR - operacje wykonywane na danych PNR, takie jak: gromadzenie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie; 11) właściwe organy - organy uprawnione w Rzeczypospolitej Polskiej do występowania o przekazanie danych PNR lub wyników ich przetwarzania oraz do otrzymywania takich danych i wyników ich przetwarzania, do celów określonych w art. 1 ust. 1; 12) właściwe organy PCz - organy państwa członkowskiego innego niż Rzeczpospolita Polska, notyfikowane Komisji Europejskiej przez to państwo członkowskie, uprawnione do występowania o przekazanie danych PNR lub wyników ich przetwarzania oraz do otrzymywania takich danych i wyników ich przetwarzania, do celów określonych w art. 1 ust. 1; 13) zautomatyzowane przetwarzanie danych PNR - sposób przetwarzania danych PNR polegający na samoczynnym porównaniu przez KSI PNR danych PNR z danymi osobowymi zgromadzonymi w bazach danych wykorzystywanych do zapobiegania, wykrywania, zwalczania oraz ścigania sprawców przestępstw i przestępstw skarbowych lub kryteriami przetwarzania danych PNR, uruchamiany każdorazowo podczas przekazania tych danych przez przewoźników lotniczych do JIP. Art. 3. Dane PNR przekazane przez przewoźników lotniczych mogą być przetwarzane w celu zapobiegania, wykrywania i zwalczania oraz ścigania sprawców: 1) przestępstw o charakterze terrorystycznym; 2) przestępstw lub przestępstw skarbowych: a) udziału w zorganizowanej grupie albo związku mających na celu popełnianie przestępstw lub przestępstw skarbowych, b) handlu ludźmi, c) przeciwko wolności seksualnej lub obyczajności na szkodę małoletniego, d) nielegalnego wytwarzania, przetwarzania, przemytu środków odurzających, prekursorów, środków zastępczych lub substancji psychotropowych lub obrotu nimi, e) nielegalnego obrotu bronią, amunicją lub materiałami wybuchowymi, f) łapownictwa i płatnej protekcji, g) oszustwa, w tym oszustwa przeciwko interesom finansowym Unii Europejskiej, h) wprowadzania do obrotu finansowego wartości majątkowych pochodzących z nielegalnych lub nieujawnionych źródeł, fałszowania oraz obrotu fałszywymi pieniędzmi lub innymi środkami płatniczymi, i) przeciwko ochronie danych gromadzonych, przechowywanych, przetwarzanych lub przekazywanych w systemie informatycznym, j) przeciwko środowisku naturalnemu, w tym nielegalnego obrotu zagrożonymi gatunkami zwierząt i roślin, k) udzielenia pomocy w nielegalnym przekroczeniu granicy państwowej lub pobycie, l) zabójstwa, spowodowania ciężkiego uszczerbku na zdrowiu, m) nielegalnego obrotu organami i tkankami ludzkimi, n) bezprawnego pozbawienia człowieka wolności, uprowadzenia człowieka dla okupu, wzięcia lub przetrzymywania zakładnika, o) rozboju z użyciem broni palnej lub groźby jej użycia, wymuszenia rozbójniczego z użyciem broni palnej lub groźby jej użycia, p) nielegalnego handlu dobrami kultury, q) podrabiania oraz obrotu podrobionymi wyrobami, r) fałszowania oraz obrotu sfałszowanymi dokumentami, s) nielegalnego obrotu hormonami lub podobnymi substancjami, t) nielegalnego obrotu materiałami radioaktywnymi, u) zgwałcenia, v) należących do właściwości Międzynarodowego Trybunału Karnego, w) porwania statku wodnego lub powietrznego, x) sabotażu, y) obrotu kradzionymi pojazdami mechanicznymi, z) szpiegostwa przemysłowego - których górna granica ustawowego zagrożenia wynosi przynajmniej 3 lata pozbawienia wolności. Art. 4. 1. Przetwarza się następujące kategorie danych PNR: 1) kod identyfikacyjny danych PNR; 2) datę dokonania rezerwacji lub wystawienia biletu na lot PNR; 3) datę planowanego przelotu; 4) imię i nazwisko pasażera; 5) adres, numer telefonu i adres e-mail pasażera; 6) informacje dotyczące płatności za bilet, obejmujące numer karty płatniczej, informacje o płatności gotówką, informacje znajdujące się na fakturze albo na innym dowodzie płatności za bilet oraz informacje zawarte w poleceniu przelewu: numery rachunków bankowych nadawcy i odbiorcy, imiona i nazwiska lub nazwy nadawcy i odbiorcy, kwotę i walutę przelewu, datę i czas wykonania przelewu oraz jego tytuł; 7) trasę przelotu pasażera; 8) informacje o programach lojalnościowych; 9) nazwę, numer telefonu, adres e-mail i adres biura podróży lub agencji turystycznej; 10) dane o statusie podróży pasażera obejmujące: a) potwierdzenia etapów rezerwacji, b) stan odprawy biletowo-bagażowej, c) informacje o tym, czy pasażer stawił się osobiście do tej odprawy lub nabył bilet w czasie odprawy biletowo-bagażowej bez wcześniejszej rezerwacji; 11) informacje o: a) rozdzieleniu danych PNR, obejmujące informacje o zmianie rezerwacji dokonanej dla więcej niż jednej osoby w zakresie wskazania nowego kierunku lotu dla co najmniej jednej z nich, albo b) podzieleniu danych PNR, obejmujące informacje o zmianie rezerwacji dokonanej dla więcej niż jednej osoby w zakresie wskazania nowego kierunku lotu dla wszystkich osób nią objętych; 12) informacje dotyczące osoby małoletniej podróżującej bez opieki statkiem powietrznym, obejmujące: a) imię i nazwisko osoby małoletniej, jej płeć, wiek oraz języki, którymi włada, b) imię i nazwisko opiekuna osoby małoletniej w momencie startu tego statku, jego adres, numer telefonu, adres e-mail, rodzaj i numer dokumentu tożsamości oraz rodzaj więzi łączącej go z osobą małoletnią, c) imię i nazwisko opiekuna osoby małoletniej w momencie lądowania tego statku, jego adres, numer telefonu, adres e-mail, rodzaj i numer dokumentu tożsamości oraz rodzaj więzi łączącej go z osobą małoletnią, d) imię i nazwisko przedstawiciela przewoźnika lotniczego obecnego przy odlocie i przylocie; 13) numer biletu, datę jego wystawienia i informację, czy został wystawiony w jedną stronę, oraz informację o automatycznie skalkulowanej taryfie służącej do ustalenia ceny biletu; 14) numer miejsca na pokładzie statku powietrznego i inne informacje dotyczące tego miejsca; 15) informacje o wspólnej obsłudze połączeń; 16) informacje dotyczące liczby, rodzaju i wagi bagażu; 17) liczba oraz imiona i nazwiska innych pasażerów wymienionych w danych PNR dotyczących dokonanej rezerwacji; 18) informacje dotyczące przelotu pasażera, przekazane przez przewoźnika lotniczego przed podróżą, obejmujące: a) rodzaj, numer, kraj wydania i datę ważności dokumentu tożsamości, b) obywatelstwo, c) imię i nazwisko, d) płeć, e) datę urodzenia, f) nazwę linii lotniczych, numer lotu PNR oraz datę i godzinę startu i lądowania statku powietrznego, g) nazwę portu lotniczego, w którym nastąpił start oraz lądowanie - zwane dalej „danymi API”; 19) zmiany danych PNR zawartych w kategoriach, o których mowa w pkt 1-18. 2. Nie przetwarza się danych PNR ujawniających rasę, pochodzenie etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, stan zdrowia, życie seksualne lub orientację seksualną danej osoby. Rozdział 2 Obowiązek przekazywania danych PNR przez przewoźników lotniczych Art. 5. 1. Przewoźnik lotniczy, który organizuje lot PNR, przekazuje do JIP dane PNR dotyczące pasażerów tego lotu, spośród kategorii danych PNR, które gromadzi w trakcie prowadzonej przez siebie działalności w celu dokonania rezerwacji lub realizacji przewozu lotniczego. 2. Przekazywanie danych PNR przez przewoźników lotniczych do JIP odbywa się nieodpłatnie. Art. 6. 1. Dane PNR są przekazywane przez przewoźników lotniczych do JIP w następujących terminach: 1) od 48 do 24 godzin przed planowanym rozpoczęciem lotu PNR oraz 2) niezwłocznie po zakończeniu odprawy biletowo-bagażowej i wejściu pasażerów na pokład statku powietrznego, kiedy nie mogą już go opuścić przed jego startem, a inni pasażerowie nie mogą wejść na pokład. 2. Przekazanie danych PNR w terminie określonym w ust. 1: 1) pkt 1 - polega na jednokrotnym albo wielokrotnym przesłaniu danych PNR do JIP; 2) pkt 2 - polega na przekazaniu danych PNR albo aktualizacji danych, które zostały przekazane w terminie, o którym mowa w ust. 1 pkt 1. 3. W przypadku zmiany danych PNR, przekazanych na podstawie ust. 1 pkt 2, przed startem statku powietrznego, przewoźnik lotniczy przekazuje dane PNR ponownie. Art. 7. 1. W przypadku bezpośredniego i rzeczywistego zagrożenia przestępstwem lub przestępstwem skarbowym, o którym mowa w art. 3, właściwy organ może wystąpić z wnioskiem do JIP o przekazanie danych PNR przez przewoźnika lotniczego w terminach innych niż określone w art. 6 ust. 1. Właściwy organ może złożyć wniosek ustnie, a następnie niezwłocznie potwierdzić go w formie pisemnej w postaci papierowej lub elektronicznej. 2. Wniosek, o którym mowa w ust. 1, zawiera: 1) nazwę przewoźnika lotniczego i numer lotu PNR, którego dotyczy wniosek; 2) podstawę prawną wniosku i jego uzasadnienie wskazujące bezpośrednie i rzeczywiste zagrożenie przestępstwem lub przestępstwem skarbowym, o którym mowa w art. 3, oraz przyczyny przekazania przez przewoźnika lotniczego danych PNR w innych terminach niż określone w art. 6 ust. 1; 3) określenie terminu lub terminów przekazania danych PNR do JIP; 4) oznaczenie sprawy, w której dane PNR lub wyniki ich przetwarzania będą wykorzystywane; 5) numer telefonu osoby prowadzącej sprawę; 6) nazwę właściwego organu albo imię i nazwisko osoby upoważnionej przez niego do złożenia wniosku. 3. JIP odmawia realizacji wniosku, o którym mowa w ust. 1, w przypadku gdy nie zawiera on: 1) uzasadnienia lub podstawy prawnej przekazania danych PNR w innym terminie; 2) wymaganych elementów identyfikujących lot PNR. 4. W przypadku, o którym mowa w ust. 1, przewoźnik lotniczy, na wniosek JIP, przekazuje dane PNR w terminie lub terminach określonych w tym wniosku. 5. We wniosku, o którym mowa w ust. 4, JIP może zwolnić przewoźnika lotniczego z obowiązku przekazania danych PNR w terminach określonych w art. 6 ust. 1. 6. Wniosek, o którym mowa w ust. 4, zawiera: 1) nazwę przewoźnika lotniczego i numer lotu PNR, którego dotyczy wniosek; 2) podstawę prawną wniosku i jego uzasadnienie; 3) określenie terminu lub terminów przekazania danych PNR do JIP; 4) informację, czy przekazanie danych PNR w terminie lub terminach określonych we wniosku zwalnia przewoźnika lotniczego z obowiązku przekazania danych PNR w terminach określonych w art. 6 ust. 1. Art. 8. 1. Przewoźnik lotniczy przekazuje dane PNR do JIP za pomocą środków komunikacji elektronicznej, wykorzystując protokoły i formaty danych określone w przepisach wykonawczych wydanych na podstawie ust. 3 pkt 1. 2. W przypadku gromadzenia przez przewoźnika lotniczego danych API odrębnie od pozostałych danych PNR dla tego samego lotu PNR, dane te są przekazywane zgodnie z formatem określonym w przepisach wykonawczych wydanych na podstawie ust. 3 pkt 2. 3. Minister właściwy do spraw wewnętrznych określi, w drodze rozporządzenia: 1) protokoły i formaty danych wykorzystywane do przekazywania danych PNR do JIP, 2) format danych, zgodnie z którym przekazywane są dane API, które przewoźnicy lotniczy gromadzą odrębnie od pozostałych danych PNR dla tego samego lotu PNR - uwzględniając konieczność zapewnienia bezpiecznego i efektywnego przekazywania danych PNR oraz optymalizacji kosztów. 4. Przewoźnik lotniczy wykonujący nieregularny przewóz lotniczy pasażerów i niedysponujący infrastrukturą, która umożliwiałaby obsługę protokołów i formatów danych określonych w przepisach wykonawczych wydanych na podstawie ust. 3, przekazuje dane PNR do JIP za pomocą środków komunikacji elektronicznej, w sposób gwarantujący ochronę danych osobowych przed niedozwolonymi formami ich przetwarzania, w szczególności przed ich zniszczeniem, utratą, modyfikacją, ujawnieniem lub dostępem do nich, uwzględniający ryzyko wiążące się z przetwarzaniem i charakterem danych podlegających ochronie oraz koszty jego wdrożenia. Przewoźnik lotniczy i Komendant Główny Straży Granicznej uzgadniają w drodze pisemnego porozumienia rodzaje stosowanych środków komunikacji elektronicznej, za pomocą których dane PNR są przekazywane, oraz sposób ich zabezpieczenia. 5. W przypadku gdy przekazanie danych PNR w sposób określony w ust. 1-4 jest niemożliwe z powodu awarii technicznej, przewoźnik lotniczy i JIP uzgadniają w drodze porozumienia inny sposób przekazania tych danych, zapewniający sprawny przekaz danych, gwarantujący ochronę danych osobowych przed niedozwolonymi formami ich przetwarzania, w szczególności przed ich zniszczeniem, utratą, modyfikacją, ujawnieniem lub dostępem do nich, uwzględniający ryzyko wiążące się z przetwarzaniem i charakterem danych podlegających ochronie oraz biorąc pod uwagę koszty jego wdrożenia. Przewoźnik lotniczy i JIP niezwłocznie potwierdzają pisemnie uzgodnione porozumienie. 6. Komendant Główny Straży Granicznej udostępnia w Biuletynie Informacji Publicznej na stronie podmiotowej Komendy Głównej Straży Granicznej informacje dotyczące sposobu przekazywania danych PNR przez przewoźników lotniczych do JIP. Art. 9. 1. Przewoźnik lotniczy, podczas dokonywania rezerwacji lub wystawiania biletu na przewóz lotniczy informuje w formie pisemnej, w postaci papierowej lub elektronicznej, każdego pasażera o przetwarzaniu jego danych PNR i przekazywaniu ich do JIP, w c