KOMISJA EUROPEJSKA
Bruksela, dnia 12.6.2025
COM(2025) 279 final
2025/0145(NLE)
Wniosek
DECYZJA RADY
w sprawie zawarcia, w imieniu Unii Europejskiej, Umowy między Unią Europejską a Królestwem Norwegii o przekazywaniu danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania
UZASADNIENIE
Niniejszy wniosek ustawodawczy dotyczy zawarcia między Unią Europejską a Królestwem Norwegii („Norwegia”) umowy o przekazywaniu danych dotyczących przelotu pasażera (dane PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania („umowa”).
1.KONTEKST WNIOSKU
•Przyczyny i cele wniosku
Wzmocnienie współpracy międzynarodowej w zakresie egzekwowania prawa, w tym w zakresie wymiany informacji, jest kluczowe, aby przeciwdziałać zagrożeniom stwarzanym przez terroryzm i poważną przestępczość transgraniczną. Najnowsze sprawozdanie z oceny zagrożenia poważną i zorganizowaną przestępczością (SOCTA) opublikowane przez Europol 1 przedstawia międzynarodowy wymiar działalności najpoważniejszych organizacji przestępczych. Ponadto w najnowszym sprawozdaniu dotyczącym sytuacji i tendencji w dziedzinie terroryzmu w UE 2 podkreślono nie tylko bezpośrednie powiązania między podróżami międzynarodowymi a organizacją działalności terrorystycznej i poważnej przestępczości, lecz także znaczenie, jakie skuteczne wykrywanie i ściganie innych poważnych przestępstw oraz prowadzenie dochodzeń w ich sprawie ma dla zapobiegania przestępstwom terrorystycznym i ich wykrywania.
Dane dotyczące przelotu pasażera (dane PNR) to informacje, które pasażerowie dostarczają, a przewoźnicy lotniczy gromadzą i przechowują do celów handlowych w systemach rezerwacji i odpraw pasażerskich. Treść danych PNR różni się w zależności od tego, jakie informacje podano przy rezerwacji i przy odprawie i może obejmować na przykład datę i pełną trasę podróży pasażera lub grupy pasażerów podróżujących razem, dane kontaktowe, takie jak adres i numer telefonu, informacje o płatności, numery miejsc i informacje o bagażu.
Przez gromadzenie i analizowanie danych PNR organy mogą pozyskać istotne informacje umożliwiające wykrywanie podejrzanych wzorców podróżowania i zidentyfikowanie w szczególności tych wspólników przestępców i terrorystów, którzy nie byli wcześniej znani organom ścigania. W związku z tym – w UE i poza nią – przetwarzanie danych PNR stało się narzędziem egzekwowania prawa stosowanym powszechnie w celu wykrywania terroryzmu i innych form poważnej przestępczości, takich jak przestępstwa związane z narkotykami, handel ludźmi i wykorzystywanie seksualne dzieci, oraz w celu zapobiegania popełnianiu takich przestępstw. Okazało się również ważnym źródłem informacji wspierających prowadzenie postępowań przygotowawczych i sądowych w sprawach dotyczących nielegalnej działalności tego rodzaju 3 .
Chociaż przekazywanie danych PNR do państw trzecich oraz przetwarzanie ich przez organy jest kluczowe dla zwalczania terroryzmu i poważnej przestępczości, stanowi ono ingerencję w ochronę praw osób fizycznych w odniesieniu do ich danych osobowych. Z tego względu musi mieć ono podstawę w prawie UE oraz musi być konieczne i proporcjonalne oraz podlegać ścisłym ograniczeniom i skutecznym zabezpieczeniom, zagwarantowanym w Karcie praw podstawowych Unii Europejskiej, w szczególności w jej art. 6, 7, 8, 21, 47 i 52. Aby osiągnąć te ważne cele konieczne jest znalezienie sprawiedliwej równowagi między uzasadnionym celem, jakim jest utrzymanie bezpieczeństwa publicznego, a prawem każdej osoby do korzystania z ochrony jej danych osobowych i życia prywatnego.
W 2016 r. Parlament Europejski i Rada przyjęły dyrektywę (UE) 2016/681 w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania („dyrektywa w sprawie danych PNR”) 4 . Uregulowano w niej przekazywanie i przetwarzanie danych PNR w Unii Europejskiej oraz ustanowiono istotne gwarancje w zakresie ochrony praw podstawowych, w szczególności prawa do prywatności i ochrony danych osobowych. W czerwcu 2022 r., w wyroku w sprawie C-817/19, Trybunał Sprawiedliwości UE (TSUE) potwierdził ważność i zgodność tej dyrektywy z Kartą praw podstawowych UE i Traktatami UE 5 .
Norwegia i państwa członkowskie Unii są umawiającymi się stronami konwencji z Schengen 6 i ponoszą wspólną odpowiedzialność za zapewnienie bezpieczeństwa wewnętrznego na wspólnym obszarze bez kontroli na granicach wewnętrznych, w tym przez wymianę odpowiednich informacji. Wykazano, że przetwarzanie danych PNR może zwiększyć bezpieczeństwo strefy Schengen, gdyż usprawni zapobieganie poważnej przestępczości i terroryzmowi oraz ich wykrywanie na granicach zewnętrznych, a także zapewni państwom członkowskim podejście oparte na analizie ryzyka i danych, które może kompensować brak kontroli na granicach wewnętrznych w strefie Schengen 7 .
Norwegia przyjęła krajowe przepisy dotyczące danych PNR, a we wrześniu 2022 r. rozpoczął działalność jej właściwy organ wyznaczony do otrzymywania i przetwarzania danych PNR dotyczących lotów lądujących w islandzkich portach lotniczych lub z nich odlatujących.
Zgodnie z prawem Unii przekazywanie danych osobowych z Unii do państwa trzeciego może mieć miejsce wyłącznie wówczas, gdy dane państwo trzecie zapewnia stopień ochrony tych danych osobowych zasadniczo równoważny stopniowi ochrony tych danych w UE. Należy tutaj zauważyć, że Norwegia nie jest państwem trzecim w rozumieniu rozdziału V rozporządzenia 2016/679 8 , ponieważ rozporządzenie to – wraz z dostosowaniami – włączono do załącznika XI do Porozumienia o Europejskim Obszarze Gospodarczym (EOG). Ramy przepisów określone w tym rozporządzeniu nie mają jednak zastosowania do przetwarzania danych osobowych, w tym danych PNR, przez norweskie organy ścigania do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom. Jednocześnie, ponieważ zgodnie z umową o uczestnictwie w dorobku prawnym Schengen między UE a Norwegią z 1999 r. Norwegia jest związana aktami Unii stanowiącymi rozwinięcie przepisów dorobku Schengen, ma ona stosować dyrektywę (UE) 2016/680 w podobny sposób jak państwa członkowskie UE. Dyrektywa w sprawie danych PNR nie stanowi jednak rozwoju dorobku Schengen, w związku z czym Norwegia nie uczestniczy we wdrażaniu tego instrumentu prawnego.
Wobec tego, z uwagi na brak odpowiednich zabezpieczeń dotyczących konkretnego przetwarzania danych PNR, które to zabezpieczenia – zgodnie z prawem UE – należy ustanowić za pomocą ważnej podstawy prawnej, Norwegia nie może zgodnie z prawem otrzymywać ani przetwarzać danych PNR dotyczących lotów, które przewoźnicy lotniczy wykonują między Unią a Norwegią.
W związku z tym dnia 6 września 2023 r. Komisja przyjęła zalecenie, w którym zaproponowała Radzie upoważnienie do rozpoczęcia negocjacji w sprawie zawarcia między Unią a Norwegią umowy o przekazywaniu danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania 9 . Jednocześnie zaleciła również rozpoczęcie negocjacji w sprawie takich umów z Konfederacją Szwajcarską 10 i Islandią 11 . Dnia 4 marca 2024 r. Rada upoważniła do rozpoczęcia negocjacji i przyjęła wytyczne negocjacyjne 12 .
Umowa ta stanowi rozwiązanie umożliwiające wypełnienie luki w zakresie bezpieczeństwa w strefie Schengen oraz przekazywanie danych PNR z Unii do Norwegii, ze względu na fakt, że dane PNR uznano za jedno z podstawowych narzędzi w walce z terroryzmem i innymi formami poważnej przestępczości.
Negocjacje z Norwegią, a także z Islandią i Konfederacją Szwajcarską rozpoczęły się dnia 21 marca 2024 r. Dnia 9 kwietnia 2025 r. główni negocjatorzy parafowali tekst umowy, a tym samym formalnie zakończyli negocjacje.
Współprawodawcy byli informowani w trakcie całego procesu negocjacyjnego i konsultowani na wszystkich jego etapach, w szczególności w drodze sprawozdań przedstawianych Grupie Roboczej Rady ds. Wymiany Informacji w dziedzinie WSiSW oraz Komisji Wolności Obywatelskich, Sprawiedliwości i Spraw Wewnętrznych (LIBE) Parlamentu Europejskiego.
•Spójność z obowiązującymi politykami Unii
W komunikacie z 2003 r. 13 w sprawie podejścia UE do przekazywania krajom trzecim danych dotyczących przelotu pasażera – Komisja po raz pierwszy określiła ogólne kierunki polityki zewnętrznej UE w zakresie danych PNR. Podejście to poddano przeglądowi w kolejnym komunikacie, przyjętym w 2010 r. 14 Obecnie obowiązują trzy umowy międzynarodowe zawarte między UE a następującymi państwami trzecimi: Australią 15 , Stanami Zjednoczonymi 16 (2012 r.) i Zjednoczonym Królestwem 17 (2020 r.). Umowy te obejmują przekazywanie danych PNR z UE i ich przetwarzanie. Po negocjacjach, które były następstwem opinii 1/15 TSUE z dnia 26 lipca 2017 r. 18 , w dniu 4 października 2024 r. podpisano nową umowę w sprawie PNR z Kanadą 19 .
Na szczeblu międzynarodowym coraz więcej państw trzecich rozwija swoje zdolności w zakresie gromadzenia danych PNR od przewoźników lotniczych. Tendencję tę wzmocniły rezolucje Rady Bezpieczeństwa Organizacji Narodów Zjednoczonych (z 2017 i 2019 r.), zobowiązujące wszystkie państwa do rozwijania zdolności do gromadzenia i wykorzystywania danych PNR 20 , na podstawie których Organizacja Międzynarodowego Lotnictwa Cywilnego (ICAO) przyjęła w 2020 r. normy i zalecane metody postępowania w zakresie PNR (SARPs) w drodze poprawki 28 do załącznika 9 do konwencji chicagowskiej, która zaczęła obowiązywać w lutym 2021 r. 21
Unia, zgodnie ze swoim stanowiskiem określonym w decyzji Rady (UE) 2021/121, z zadowoleniem przyjmuje normy i zalecane metody postępowania ICAO dotyczące danych PNR, jako ustanawiające ambitne zabezpieczenia w zakresie ochrony danych, a tym samym umożliwiające poczynienie znacznych postępów na szczeblu międzynarodowym. W tej decyzji Rady nałożono jednak na państwa członkowskie wymóg zgłaszania różnic, ponieważ stwierdzono, że wymogi wynikające z prawa Unii (w tym z odpowiedniego orzecznictwa) są bardziej rygorystyczne niż niektóre normy ICAO oraz że przekazywanie danych z UE do państw trzecich wymaga podstawy prawnej ustanawiającej jasne i precyzyjne zasady i zabezpieczenia w odniesieniu do wykorzystywania danych PNR przez właściwe organy państwa trzeciego 22 .
W tym kontekście, negocjowanie i zawarcie tej umowy stanowi część szerszych wysiłków Komisji na rzecz stosowania spójnego i skutecznego podejścia do przekazywania danych PNR państwom trzecim, jak zapowiedziano w strategii w zakresie unii bezpieczeństwa na lata 2020–2025 23 , w oparciu o normy i zalecane metody postępowania ICAO dotyczące PNR oraz zgodnie z prawem i orzecznictwem Unii. O takie podejście zwróciła się również Rada w swoich konkluzjach z czerwca 2021 r. 24
W związku z tym Komisja stara się również uwzględnić apel przewoźników lotniczych o zapewnienie większej jasności prawa i przewidywalności w odniesieniu do przekazywania państwom trzecim danych PNR 25 .
2.PODSTAWA PRAWNA, POMOCNICZOŚĆ I PROPORCJONALNOŚĆ
•Podstawa prawna
Art. 218 ust. 6 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) określa tryb przyjmowania decyzji „w sprawie zawarcia umowy”. Jako że wniosek dotyczy obszarów, w których zastosowanie ma zwykła procedura ustawodawcza, wymagana jest zgoda Parlamentu Europejskiego, a zatem proceduralną podstawą prawną jest art. 218 ust. 6 lit. a) ppkt (v) TFUE.
Wniosek ma dwa główne cele i odpowiadające im dwie części: pierwszy cel dotyczy konieczności zapewnienia bezpieczeństwa publicznego za pomocą przekazywania danych PNR do Norwegii, a drugi – ochrony prywatności oraz innych podstawowych praw i wolności osób. Materialną podstawą prawną są zatem art. 16 ust. 2 i art. 87 ust. 2 lit. a) Traktatu o funkcjonowaniu Unii Europejskiej.
•Proporcjonalność
Określone powyżej cele Unii związane z niniejszym wnioskiem można osiągnąć jedynie przez ustanowienie ważnej podstawy prawnej na poziomie Unii w celu zapewnienia odpowiedniej ochrony praw podstawowych przy przekazywaniu danych osobowych z Unii. Postanowienia umowy ograniczają się do tego, co jest konieczne do osiągnięcia jej głównych celów i zapewniają sprawiedliwą równowagę między uzasadnionym celem utrzymania bezpieczeństwa publicznego a prawem każdej osoby do korzystania z prawa do ochrony swoich danych osobowych i poszanowania życia prywatnego.
•Wybór instrumentu
Odpowiednie zabezpieczenia wymagane w kontekście konkretnych operacji przetwarzania danych PNR otrzymywanych przez Norwegię od przewoźników lotniczych w ramach lotów obsługiwanych przez przewoźników lotniczych między Unią a Norwegią muszą zostać ustanowione za pomocą ważnej podstawy prawnej zgodnie z prawem UE. Przedmiotowa umowa stanowi taką podstawę prawną umożliwiającą przekazywanie danych PNR.
•Prawa podstawowe
Wymiana danych PNR i ich przetwarzanie przez organy państwa trzeciego stanowią ingerencję w podstawowe prawa do prywatności i ochrony danych. Ingerencja taka jest jednak uzasadniona również dlatego, że umowa służy uzasadnionym celom, tj. zapobieganiu poważnej przestępczości i terroryzmowi, ich wykrywaniu, prowadzeniu postępowań przygotowawczych w ich sprawie i ich ściganiu. Umowa zawiera odpowiednie zabezpieczenia w zakresie ochrony przekazywanych i przetwarzanych danych osobowych, zgodnie z prawem UE, w szczególności z art. 7, 8, 47 i 52 Karty praw podstawowych Unii Europejskiej.
3.WPŁYW NA BUDŻET
Wniosek nie ma wpływu na budżet Unii.
4.ELEMENTY FAKULTATYWNE
•Szczegółowe objaśnienia poszczególnych przepisów wniosku
Umowa, w pełnej zgodności z Kartą praw podstawowych UE, odpowiednim orzecznictwem Trybunału Sprawiedliwości UE i wytycznymi negocjacyjnymi, zapewnia podstawę prawną, warunki i zabezpieczenia dotyczące przekazywania Norwegii danych PNR otrzymanych od przewoźników lotniczych z Unii i przetwarzania przez nią tych danych:
W art. 1 określono zakres i cele umowy.
W art. 2 zawarto kluczowe definicje umowy, między innymi „jednostki ds. informacji o pasażerach” (JIP) Norwegii jako wyznaczonego właściwego organu odpowiedzialnego za przetwarzanie danych PNR oraz terminów „poważna przestępczość” i „terroryzm”, zgodnie ze sposobem, w jaki pojęcia te zostały zdefiniowane w innych odpowiednich instrumentach prawa UE.
W art. 3 uregulowano metodę i częstotliwość przekazywania danych PNR przez linie lotnicze do norweskiej JIP w celu zapewnienia, aby przekazywanie takich danych ograniczało się do niezbędnego minimum i było proporcjonalne do celu określonego w umowie.
W art. 4 określono wspólne rozwiązanie techniczne poprzez uwzględnienie możliwości korzystania przez Norwegię z routera API-PNR ustanowionego zgodnie z rozporządzeniem (UE) 2025/13 26 i jak przewidziano w art. 10 lit. c) tego rozporządzenia.
W art. 5 w sposób wyczerpujący ograniczono cel, w jakim mogą być przetwarzane wszelkie dane PNR objęte umową: a mianowicie mogą być przetwarzane jedynie w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania.
W art. 6 określono trzy szczegółowe zasady przetwarzania danych PNR, przekazywanych norweskiej JIP na podstawie umowy.
W art. 7 przewidziano dodatkowe zabezpieczenia dotyczące przeprowadzania „oceny w czasie rzeczywistym” i ograniczono zautomatyzowane przetwarzanie danych PNR.
W art. 8 przewidziano zakaz przetwarzania szczególnych kategorii danych PNR, tak jak zostały zdefiniowane w unijnym dorobku prawnym w zakresie ochrony danych.
W art. 9 przewidziano wysoki poziom bezpieczeństwa danych PNR otrzymanych na podstawie umowy i zapewniono zgłaszanie naruszeń bezpieczeństwa danych do wyznaczonego norweskiego organu nadzorczego ds. ochrony danych.
W art. 10 przewidziano prowadzenie rejestrów i dokumentacji wszystkich przypadków przetwarzania danych PNR.
W art. 11 zawarto przepisy dotyczące ograniczonego przechowywania danych PNR w celu zapewnienia, aby takie dane nie były przechowywane dłużej niż jest to konieczne i proporcjonalne do celu tej umowy. Zgodnie z odpowiednim orzecznictwem Trybunału Sprawiedliwości Unii Europejskiej przepis ten wymaga obiektywnego związku między danymi PNR, które mają być przechowywane, a celami umowy, oraz uzależnia okresy przechowywania od dokonywania regularnych przeglądów przez norweską JIP.
W art. 12 zobowiązano norweską JIP do depersonalizowania danych PNR najpóźniej po 6 miesiącach.
W art. 13 określono zasady i warunki ujawniania danych PNR w Norwegii, np. przez ograniczenie takiego ujawniania wyłącznie do przypadków ujawniania danych organom pełniącym funkcje związane z celami umowy oraz przez wymóg uprzedniego zatwierdzenia takiego ujawnienia przez organ sądowy lub inny niezależny organ.
W art. 14 określono zasady i warunki ujawniania danych PNR poza Norwegią i UE, np. przez ograniczenie takiego ujawniania wyłącznie do przypadków ujawniania danych państwom trzecim, z którymi UE zawarła porównywalną umowę lub w odniesieniu do których UE przyjęła decyzję stwierdzającą odpowiedni stopień ochrony, oraz przez wymóg uprzedniego zatwierdzenia takiego ujawnienia przez organ sądowy lub inny niezależny organ.
W art. 15 przewidziano wsparcie współpracy policyjnej i sądowej poprzez wymianę danych PNR lub wyników ich przetwarzania między norweską JIP a JIP państw członkowskich Unii, a także między norweską JIP, z jednej strony, a Europolem lub Eurojustem, w ramach ich odpowiednich kompetencji, z drugiej strony.
W art. 16 zawarto wymóg, aby w odniesieniu do przetwarzania danych osobowych na podstawie tej umowy Norwegia stosowała te same prawa i obowiązki, jakie zawarte są w dyrektywie (UE) 2016/680, oraz aby takie przetwarzanie nadzorował niezależny organ ustanowiony zgodnie z wdrażaniem tej dyrektywy przez Norwegię.
W art. 17 uwzględniono obowiązki w zakresie przejrzystości i informowania, w tym wymóg powiadamiania osób fizycznych o ujawnieniu ich danych PNR.
W art. 18 nałożono na Norwegię obowiązek wskazania nazwy islandzkiej JIP i krajowego organu nadzorczego.
W art. 19 określa się termin wejścia w życie umowy.
W art. 20 przewidziano mechanizm rozstrzygania sporów i mechanizm zawieszający.
W art. 21 przewidziano możliwość rozwiązania umowy przez każdą ze stron w dowolnym momencie.
W art. 22 przewidziano zasady wprowadzania zmian do umowy.
W art. 23 przewidziano wspólną ocenę wdrażania umowy.
W art. 24 zawarto klauzulę dotyczącą terytorialnego zakresu stosowania umowy.
2025/0145 (NLE)
Wniosek
DECYZJA RADY
w sprawie zawarcia, w imieniu Unii Europejskiej, Umowy między Unią Europejską a Królestwem Norwegii o przekazywaniu danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania
RADA UNII EUROPEJSKIEJ,
uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 16 ust. 2 oraz art. 87 ust. 2 lit. a) w związku z art. 218 ust. 6 akapit drugi lit. a),
uwzględniając wniosek Komisji Europejskiej,
uwzględniając zgodę Parlamentu Europejskiego,
a także mając na uwadze, co następuje:
(1)Zgodnie z decyzją Rady [XXX] z dnia [...] r. 27 Umowa między Unią Europejską a Królestwem Norwegii o przekazywaniu danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania („umowa”) została podpisana dnia [...], z zastrzeżeniem jej zawarcia w późniejszym terminie.
(2)Umowa umożliwia przekazywanie Królestwu Norwegii danych PNR przez przewoźników lotniczych z Unii przy pełnym poszanowaniu praw przewidzianych w Karcie praw podstawowych Unii Europejskiej, w szczególności prawa do poszanowania życia prywatnego i rodzinnego uznanego w art. 7 Karty oraz prawa do ochrony danych osobowych uznanego w art. 8 Karty. Umowa zawiera w szczególności odpowiednie zabezpieczenia w zakresie ochrony danych osobowych przekazywanych na podstawie umowy.
(3)Umowa stanowi wsparcie współpracy policyjnej i sądowej między właściwymi organami Norwegii a właściwymi organami państw członkowskich Unii, a także Europolem i Eurojustem; ma to służyć wzmocnieniu ich zdolności do lepszej ochrony granic zewnętrznych oraz skutecznego zapewnienia bezpieczeństwa wewnętrznego w przypadku braku kontroli na granicach wewnętrznych w strefie Schengen.
(4)[Zgodnie z art. 1 i 2 Protokołu nr 21 w sprawie stanowiska Zjednoczonego Królestwa i Irlandii w odniesieniu do przestrzeni wolności, bezpieczeństwa i sprawiedliwości, załączonego do Traktatu o Unii Europejskiej i do Traktatu o funkcjonowaniu Unii Europejskiej, bez uszczerbku dla art. 4 tego protokołu, Irlandia nie uczestniczy w przyjęciu niniejszej decyzji i nie jest nią związana ani jej nie stosuje.] ALBO [Zgodnie z art. 3 Protokołu nr 21 w sprawie stanowiska Zjednoczonego Królestwa i Irlandii w odniesieniu do przestrzeni wolności, bezpieczeństwa i sprawiedliwości, załączonego do Traktatu o Unii Europejskiej i do Traktatu o funkcjonowaniu Unii Europejskiej, Irlandia powiadomiła [pismem z dnia …] o chęci uczestniczenia w przyjęciu i stosowaniu niniejszej decyzji.].
(5)Zgodnie z art. 1 i 2 Protokołu nr 22 w sprawie stanowiska Danii, załączonego do Traktatu o Unii Europejskiej i do TFUE, Dania nie uczestniczy w przyjęciu niniejszej decyzji, nie jest nią związana, ani jej nie stosuje.
(6)Zgodnie z art. 42 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię [xxx] w dniu [xx.xx.xxxx],
(7)Umowę należy zatwierdzić w imieniu Unii Europejskiej,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
Artykuł 1
Niniejszym zatwierdza się Umowę między Unią Europejską a Królestwem Norwegii o przekazywaniu danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania 28 .
Artykuł 2
Niniejsza decyzja wchodzi w życie z dniem jej przyjęcia 29 .
Sporządzono w Brukseli dnia r.
W imieniu Rady
Przewodniczący
KOMISJA EUROPEJSKA
Bruksela, dnia 12.6.2025
COM(2025) 279 final
ZAŁĄCZNIK
do
wniosku dotyczącego decyzji Rady
w sprawie zawarcia, w imieniu Unii Europejskiej, Umowy między Unią Europejską a Królestwem Norwegii o przekazywaniu danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania
ZAŁĄCZNIK
UMOWA MIĘDZY UNIĄ EUROPEJSKĄ A KRÓLESTWEM NORWEGII O PRZEKAZYWANIU DANYCH DOTYCZĄCYCH PRZELOTU PASAŻERA (PNR) W CELU ZAPOBIEGANIA PRZESTĘPSTWOM TERRORYSTYCZNYM I POWAŻNEJ PRZESTĘPCZOŚCI, ICH WYKRYWANIA, PROWADZENIA POSTĘPOWAŃ PRZYGOTOWAWCZYCH W ICH SPRAWIE I ICH ŚCIGANIA
UNIA EUROPEJSKA, zwana dalej również „Unią” lub „UE”
oraz
Królestwo Norwegii, zwane dalej „Norwegią”,
wspólnie zwane dalej „Stronami”,
UZNAJĄC, że zapobieganie przestępstwom terrorystycznym oraz innego rodzaju poważnym przestępstwom, a także ich wykrywanie, prowadzenie postępowań przygotowawczych w ich sprawie i ich ściganie, przy równoczesnym poszanowaniu praw człowieka i podstawowych wolności, w szczególności prawa do prywatności i ochrony danych, są celami interesu ogólnego;
UZNAJĄC, że wymiana informacji jest zasadniczym elementem walki z przestępstwami terrorystycznymi oraz innego rodzaju poważnymi przestępstwami, i że w tym kontekście wykorzystywanie danych dotyczących przelotu pasażera (PNR) jest instrumentem mającym decydujące znaczenie dla osiągnięcia tych celów;
UZNAJĄC znaczenie wymiany danych PNR oraz istotnych i właściwych informacji analitycznych opartych na danych PNR na podstawie niniejszej Umowy między Stronami, z właściwymi organami policyjnymi i sądowymi Norwegii, państw członkowskich Unii Europejskiej oraz z Europolem jako środka promowania międzynarodowej współpracy policyjnej i sądowej;
DĄŻĄC do zacieśnienia i wspierania współpracy między Stronami w zakresie PNR poprzez wymianę informacji i współpracę techniczną między ekspertami krajowymi z państw członkowskich i jednostek do spraw informacji o pasażerach (JIP) państw stowarzyszonych w ramach Schengen, w szczególności w zakresie opracowywania wcześniej ustalonych kryteriów i innych aspektów przetwarzania danych PNR;
UWZGLĘDNIAJĄC rezolucje Rady Bezpieczeństwa Organizacji Narodów Zjednoczonych nr 2396 (2017) i 2482 (2019), w których wzywa się wszystkie państwa do rozwijania zdolności do gromadzenia i wykorzystywania danych PNR, oraz normy i zalecane metody postępowania Organizacji Międzynarodowego Lotnictwa Cywilnego w zakresie zbierania, wykorzystywania, przetwarzania i ochrony danych PNR przyjęte jako poprawka 28 do załącznika 9 do Konwencji o międzynarodowym lotnictwie cywilnym (konwencja chicagowska);
PRZYPOMINAJĄC, że Strony ponoszą wspólną odpowiedzialność za zapewnienie bezpieczeństwa wewnętrznego w strefie Schengen, w tym przez wymianę odpowiednich informacji, oraz że niniejsza Umowa zapewnia właściwym organom Stron skuteczne narzędzie umożliwiające osiągnięcie tego celu w sytuacji braku kontroli na granicach wewnętrznych;
UZNAJĄC, że celem niniejszej Umowy nie jest stosowanie jej do danych pasażera przekazywanych przed podróżą, które są zbierane i przekazywane Norwegii przez przewoźników lotniczych do celów kontroli granicznych;
MAJĄC NA UWADZE zobowiązania Unii Europejskiej wynikające z art. 6 Traktatu o Unii Europejskiej dotyczące poszanowania praw podstawowych, prawo do prywatności w odniesieniu do przetwarzania danych osobowych określone w art. 16 Traktatu o funkcjonowaniu Unii Europejskiej, zasady proporcjonalności i konieczności odnoszące się do prawa do poszanowania życia prywatnego i rodzinnego, poszanowanie prawa do prywatności oraz ochronę danych osobowych na mocy art. 7 i 8 Karty praw podstawowych Unii Europejskiej zgodnie z odpowiednim orzecznictwem Trybunału Sprawiedliwości Unii Europejskiej, art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności oraz konwencją nr 108 Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych wraz z dodatkowym protokołem nr 181;
UZNAJĄC, że na mocy prawa norweskiego przewoźnicy lotniczy mają obowiązek przekazywać Norwegii dane PNR;
UZNAJĄC, że podstawą przekazywania właściwym organom państw członkowskich danych PNR przez przewoźników lotniczych jest dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/681 w sprawie wykorzystywania danych dotyczących przelotu pasażera (PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania. Wraz z rozporządzeniem 2016/679 i dyrektywą 2016/680 zapewnia ona wysoki poziom ochrony praw podstawowych, w szczególności prawa do prywatności i ochrony danych osobowych;
UZNAJĄC, że Norwegia, zgodnie ze swoją umową z Radą Unii Europejskiej z 1999 r. 1 dotyczącą włączenia tego państwa we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen, przyjęła, wdrożyła i stosuje dyrektywę (UE) 2016/680 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającą decyzję ramową Rady 2008/977/WSiSW, ponieważ ta dyrektywa stanowi rozwinięcie przepisów dorobku Schengen. Ponadto, biorąc pod uwagę, że stosowanie przez Norwegię dyrektywy (UE) 2016/680 ma zastosowanie do przetwarzania danych osobowych na mocy instrumentów prawnych stanowiących część dorobku Schengen, należy wyjaśnić, że stosowanie dyrektywy przez Norwegię obejmuje również przetwarzanie danych osobowych przez właściwe organy na mocy niniejszej Umowy;
UZNAJĄC, że przewoźnicy lotniczy mający siedzibę lub oferujący swoje usługi w Unii Europejskiej są zobowiązani do przetwarzania danych osobowych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE oraz że rozporządzenie to zostało uwzględnione w Porozumieniu EOG decyzją Wspólnego Komitetu EOG nr 154/2018 z dnia 6 lipca 2018 r. i jako takie ma zastosowanie również do Europejskiego Obszaru Gospodarczego (EOG).;
PRZYPOMINAJĄC o prawie do swobodnego przepływu osób w Europejskim Obszarze Gospodarczym (EOG), przewidzianym w art. 1 ust. 2, art. 28 i 31 Porozumienia EOG, oraz o tym, że każdy krajowy system wymagający przekazywania przez przewoźników lotniczych i przetwarzania przez właściwe organy danych PNR może zakłócać korzystanie ze swobody przemieszczania się osób oraz że w związku z tym wszelka ingerencja w korzystanie z tej swobody jest uzasadniona jedynie wtedy, gdy opiera się na obiektywnych względach i jest proporcjonalna do zamierzonego uzasadnionego celu,
UZGADNIAJĄ, CO NASTĘPUJE:
ROZDZIAŁ I
POSTANOWIENIA OGÓLNE
ARTYKUŁ 1
Cel i zakres stosowania
1.Celem niniejszej Umowy jest umożliwienie przekazywania Norwegii danych dotyczących przelotu pasażera (PNR) przez przewoźników lotniczych z Unii oraz ustanowienie zasad i warunków, na jakich Norwegia może przetwarzać takie dane.
2.Celem niniejszej Umowy jest również zacieśnienie współpracy policyjnej i sądowej między Unią a Norwegią w odniesieniu do danych PNR.
3.Zakres niniejszej Umowy obejmuje przewoźników lotniczych obsługujących loty pasażerskie między Unią a Norwegią, jak również przewoźników lotniczych zarejestrowanych lub przechowujących dane w Unii oraz obsługujących loty do lub z Norwegii.
ARTYKUŁ 2
Definicje
Do celów niniejszej Umowy stosuje się następujące definicje:
1)„przewoźnik lotniczy” oznacza przedsiębiorstwo transportu lotniczego posiadające ważną koncesję lub równorzędne zezwolenie uprawniające do lotniczego przewozu pasażerów między Unią a Norwegią;
2)„właściwe organy” oznaczają organy publiczne, które zgodnie z prawem krajowym Norwegii są odpowiedzialne za zapobieganie przestępstwom terrorystycznym lub poważnej przestępczości, za ich wykrywanie, prowadzenie dochodzeń w ich sprawie lub ich ściganie;
3)„pasażer” oznacza osobę, w tym pasażera transferowego lub tranzytowego, z wyjątkiem członków załogi, która jest przewożona lub ma być przewieziona na pokładzie samolotu za zgodą przewoźnika lotniczego wyrażoną w formie wpisu tej osoby na listę pasażerów;
4)„jednostka do spraw informacji o pasażerach Norwegii” lub „norweska JIP” oznacza organ ustanowiony lub wyznaczony jako odpowiedzialny do celów otrzymywania i przetwarzania danych PNR przez Norwegię zgodnie z art. 6 niniejszej Umowy;
5)„dane dotyczące przelotu pasażera” lub „dane PNR” oznaczają zbiór danych o podróży każdego pasażera, który zawiera informacje niezbędne, aby umożliwić przetwarzanie i weryfikowanie rezerwacji przez przewoźników lotniczych obsługujących rezerwację i lot w odniesieniu do każdego przelotu zarezerwowanego przez jakąkolwiek osobę lub w jej imieniu, bez względu na to, czy zbiór ten znajduje się w systemach rezerwacji, systemach odpraw pasażerskich lub równorzędnych systemach pełniących te same funkcje; w znaczeniu nadanym temu terminowi w niniejszej Umowie dane PNR obejmują w szczególności elementy wymienionych w wyczerpującym wykazie zamieszczonym w załączniku I;
6)„poważna przestępczość” oznacza przestępstwa, które na mocy prawa krajowego Norwegii podlegają karze pozbawienia wolności lub środkowi zabezpieczającemu polegającemu na pozbawieniu wolności o maksymalnym wymiarze co najmniej trzech lat, mające obiektywny związek, nawet pośredni, z przewozem osób drogą lotniczą;
7)„przestępstwa terrorystyczne” oznaczają:
a)czyn lub zaniechanie, których dokonuje się z pobudek lub w celach politycznych, religijnych lub ideologicznych, z zamiarem zastraszenia społeczeństwa, stwarzając zagrożenie dla jego bezpieczeństwa, w tym bezpieczeństwa gospodarczego, lub z zamiarem zmuszenia osoby, rządu lub organizacji krajowej lub międzynarodowej do przeprowadzenia określonego działania albo do powstrzymania się od niego, i które celowo: (i) powodują śmierć lub ciężki uszczerbek na zdrowiu, (ii) zagrażają życiu osoby, (iii) stwarzają poważne zagrożenie dla zdrowia lub bezpieczeństwa ludności, (iv) powodują poważne szkody materialne, które mogą prowadzić do szkód, o których mowa w ppkt (i)–(iii), lub (v) powodują poważną ingerencję w kluczowe usługi, obiekty lub systemy albo poważne zakłócenie kluczowych usług, obiektów lub systemów, inne niż ingerencja lub zakłócenie wynikające ze zgodnego albo niezgodnego z prawem rzecznictwa, protestu, sprzeciwu lub wstrzymania pracy, takiego jak strajk, niemającego na celu wyrządzenia szkody, o której mowa w ppkt (i)–(iii); lub
b)działania stanowiące przestępstwo objęte zakresem właściwych konwencji i protokołów międzynarodowych dotyczących terroryzmu, w rozumieniu tych konwencji i protokołów; lub
c)świadome uczestniczenie w działaniu służącym wzmocnieniu zdolności podmiotu terrorystycznego do ułatwienia lub popełnienia czynu lub zaniechania opisanego w lit. a) lub b), lub włączanie się w takie działanie, lub udzielanie instrukcji osobie, grupie lub organizacji w celu dokonania takiego działania; lub
d)popełnienie przestępstwa ściganego z oskarżenia publicznego, jeżeli czynu lub zaniechania stanowiącego przestępstwo dokonuje się na rzecz lub pod kierunkiem podmiotu terrorystycznego lub w powiązaniu z tym podmiotem lub
e)gromadzenie mienia lub zachęcanie osoby, grupy lub organizacji do przekazania lub udostępnienia mienia, świadczenia usług finansowych lub innych usług powiązanych do celów dokonania czynu lub zaniechania opisanego w lit. a) lub b), lub do wykorzystania lub posiadania mienia do takich celów, przekazanie lub udostępnienie mienia, lub świadczenie usług finansowych lub innych usług powiązanych do celów dokonania czynu lub zaniechania opisanego w lit. a) lub b), lub wykorzystanie lub posiadanie mienia do takich celów; lub
f)usiłowanie dokonania lub grożenie dokonaniem czynu lub zaniechania opisanego w lit. a) lub b), spiskowanie, ułatwianie, instruowanie lub doradzanie w związku z czynem lub zaniechaniem opisanym w lit. a) lub b), lub poplecznictwo, lub udzielanie schronienia, lub ukrywanie w celu umożliwienia podmiotowi terrorystycznemu ułatwienia lub dokonania czynu lub zaniechania opisanego w lit. a) lub b); lub
g)podróżowanie do lub z Norwegii lub państwa członkowskiego Unii w celu popełnienia lub przyczynienia się do popełnienia przestępstwa terrorystycznego w rozumieniu lit. a) lub b) lub w celu udziału w działaniach podmiotu terrorystycznego w rozumieniu ust. 8) ze świadomością, że takie uczestnictwo przyczyni się do działalności przestępczej podmiotu terrorystycznego;
8)„podmiot terrorystyczny” oznacza: (i) osobę, grupę lub organizację, której jednym z celów lub działań jest ułatwienie lub dokonanie czynu lub zaniechania opisanego w ust. 7 lit. a) lub b), lub (ii) osobę, grupę lub organizację, która świadomie działa w imieniu lub pod kierunkiem osoby, grupy lub organizacji opisanej w ppkt (i), lub w powiązaniu z nią.
ROZDZIAŁ II
PRZEKAZYWANIE DANYCH PNR
ARTYKUŁ 3
Metoda i częstotliwość przekazywania danych
1.Norwegia zapewnia, aby przewoźnicy lotniczy przekazywali dane PNR norweskiej JIP wyłącznie przez przekazywanie potrzebnych danych PNR do bazy danych organu, który się o nie zwrócił („metoda push”) oraz zgodnie z następującymi procedurami, których przewoźnicy lotniczy muszą przestrzegać:
a)za pomocą środków elektronicznych, zgodnie z wymogami technicznymi norweskiej JIP albo, w przypadku awarii technicznej, wszelkimi innymi stosownymi środkami zapewniającymi odpowiedni poziom bezpieczeństwa danych;
b)przy użyciu wzajemnie akceptowanego formatu komunikacji oraz w bezpieczny sposób przy użyciu wspólnych protokołów zgodnie z wymogami norweskiej JIP;
c)bezpośrednio lub za pośrednictwem upoważnionych przedstawicieli działających w imieniu przewoźnika lotniczego i za których ten przewoźnik lotniczy ponosi odpowiedzialność, do celów niniejszej Umowy i na warunkach w niej określonych.
2.Norwegia nie wymaga od przewoźnika lotniczego dostarczania innych elementów danych PNR niż te, które znajdują się już w posiadaniu przewoźnika lotniczego lub które zostały już przez niego zebrane do celów rezerwacji lub w ramach normalnej działalności.
3.Norwegia zapewnia, aby norweska JIP usunęła wszelkie elementy danych przekazanych jej przez przewoźnika lotniczego na mocy niniejszej Umowy po otrzymaniu danych PNR, jeżeli te elementy danych nie są wymienione w załączniku I.
4.Norwegia zapewnia, aby norweska JIP wymagała od przewoźników lotniczych przekazywania danych PNR:
a)według ustalonego harmonogramu, nie wcześniej niż 48 godziny przed planowanym odlotem; oraz
b)nie więcej niż pięciokrotnie w odniesieniu do danego lotu.
5.Norwegia zezwala przewoźnikom lotniczym na ograniczenie przekazywania danych, o którym mowa w ust. 4 lit. b), do aktualizacji danych PNR przekazanych zgodnie z lit. a) tego ustępu.
6.Norwegia zapewnia, aby norweska JIP informowała przewoźników lotniczych o określonych terminach przekazania.
7.W szczególnych przypadkach, gdy istnieje wskazanie, że niezbędny jest dodatkowy dostęp, aby odpowiedzieć na konkretne zagrożenie związane z celami określonymi w art. 5, norweska JIP może wymagać od przewoźnika lotniczego dostarczania danych PNR przed zaplanowanymi przekazaniami danych, między takimi przekazaniami lub po takich przekazaniach. Korzystając z tej swobody uznania, Norwegia działa rozważnie i proporcjonalnie oraz wymaga stosowania metody przekazywania opisanej w ust. 1.
ARTYKUŁ 4
Router API-PNR
1.Strony mogą postanowić, że Norwegia może wymagać od przewoźników lotniczych przekazywania danych PNR do norweskiej JIP za pośrednictwem routera API-PNR ustanowionego zgodnie z rozporządzeniem (UE) 2025/13 2 . W takim przypadku Norwegia:
a)nie wymaga od przewoźników lotniczych przekazywania danych PNR w żaden inny sposób;
b)jest związana przepisami dotyczącymi funkcjonowania i warunków korzystania z takiego routera ustanowionymi w tym rozporządzeniu, na zasadzie odstępstwa od art. 3 ust. 1, 4 i 6.
2.Norwegia powiadamia Unię o swoim wniosku o korzystanie z takiego routera. Unia przyjmuje taki wniosek na piśmie drogą dyplomatyczną.
3.Unia powiadamia Norwegię na piśmie drogą dyplomatyczną o wszelkich zmianach rozporządzenia (UE) 2025/13, które mają wpływ na przepisy dotyczące funkcjonowania i warunków korzystania z routera API-PNR. W terminie 120 dni od otrzymania takiego powiadomienia Norwegia może powiadomić Unię na piśmie drogą dyplomatyczną o zamiarze zaprzestania korzystania z routera. W takim przypadku Strony rozpoczynają konsultacje przewidziane w art. 23 ust. 1 i ponownie zaczyna obowiązywać art. 3 ust. 1, 4 i 6.
ROZDZIAŁ III
PRZETWARZANIE I OCHRONA DANYCH PNR
ARTYKUŁ 5
Cele przetwarzania danych PNR
Norwegia zapewnia, aby dane PNR otrzymane na podstawie niniejszej Umowy były przetwarzane ściśle do celów zapobiegania przestępstwom terrorystycznym lub poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania.
ARTYKUŁ 6
Warunki przetwarzania danych PNR
Norweska JIP może przetwarzać dane PNR wyłącznie na następujących szczególnych warunkach:
a)przeprowadzenie oceny pasażerów przed ich planowanym przylotem do lub wylotem z Norwegii w celu identyfikacji osób, które wymagają dalszego sprawdzenia przez właściwe organy, ze względu na możliwość udziału takich osób w przestępstwach terrorystycznych lub w poważnej przestępczości, zgodnie z art. 7 („ocena w czasie rzeczywistym”);
b)wyszukiwanie w bazie zatrzymanych danych PNR w celu udzielenia odpowiedzi, na podstawie oceny każdego indywidualnego przypadku, na należycie uzasadniony wniosek złożony zgodnie z art. 13 i 14 oraz, w stosownych przypadkach, ujawnienie wszelkich istotnych danych PNR lub wyników ich przetwarzania;
c)analizowanie danych PNR do celów aktualizacji, testowania lub tworzenia nowych kryteriów stosowanych przy sprawdzeniach dokonywanych na podstawie art. 7 ust. 1 lit. b) w celu identyfikacji wszystkich osób, które mogą brać udział w przestępstwach terrorystycznych lub w poważnej przestępczości.
ARTYKUŁ 7
Ocena w czasie rzeczywistym
1.Przeprowadzając ocenę, o której mowa w art. 6 lit. a), norweska JIP może:
a)porównywać dane PNR wyłącznie z bazami danych o osobach lub przedmiotach poszukiwanych lub objętych wpisem, zgodnie z przepisami unijnymi, międzynarodowymi i krajowymi mającymi zastosowanie do takich baz danych; oraz
b)przetwarzać dane PNR według wcześniej ustalonych kryteriów.
2.Norwegia zapewnia, aby bazy danych, o których mowa w ust. 1 lit. a), były niedyskryminacyjne, wiarygodne, aktualne i ograniczone do baz używanych przez właściwe organy Norwegii w związku z celami określonymi w art. 5 i do tych celów.
3.Norwegia zapewnia, aby wszelkie oceny danych PNR, o których mowa w ust. 1 lit. b), opierały się na niedyskryminacyjnych, konkretnych i wiarygodnych z góry ustalonych modelach i kryteriach umożliwiających norweskiej JIP uzyskanie wyników ukierunkowanych na osoby, co do których istnieje uzasadnione podejrzenie, że są zaangażowane w przestępstwa terrorystyczne lub poważną przestępczość lub biorą w nich udział. Norwegia zapewnia, aby kryteria te w żadnym przypadku nie opierały się na rasie ani pochodzeniu etnicznym, na poglądach politycznych, przekonaniach religijnych lub światopoglądowych, przynależności do związków zawodowych, stanie zdrowia, życiu seksualnym ani orientacji seksualnej danej osoby.
4.Norwegia zapewnia, aby norweska JIP dokonywała indywidualnego przeglądu w sposób niezautomatyzowany każdego pozytywnego wyniku wynikającego z przetwarzania danych PNR w czasie rzeczywistym.
ARTYKUŁ 8
Szczególne kategorie danych
1.Na mocy niniejszej Umowy zakazuje się wszelkiego przetwarzania danych PNR ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
2.W zakresie, w jakim dane PNR otrzymane na mocy niniejszej Umowy przez norweską JIP zawierają takie szczególne kategorie danych osobowych, norweska JIP niezwłocznie usuwa takie dane.
ARTYKUŁ 9
Bezpieczeństwo i integralność danych
1.Norwegia zapewnia, aby dane PNR otrzymane na podstawie niniejszej Umowy były przetwarzane w sposób zapewniający wysoki poziom bezpieczeństwa danych odpowiedni do ryzyka związanego z przetwarzaniem i charakterem danych PNR otrzymywanych na mocy niniejszej Umowy. W szczególności norweska JIP:
a)wdraża odpowiednie środki i procedury techniczne i organizacyjne w celu zapewnienia takiego poziomu bezpieczeństwa;
b)stosuje do danych PNR procedury szyfrowania, autoryzacji i dokumentacji;
c)ogranicza dostęp do danych PNR do upoważnionych pracowników; oraz
d)przechowuje dane PNR w bezpiecznym środowisku fizycznym, które chronione jest kontrolą dostępu.
2.Norwegia zapewnia, aby wszelkie przypadki naruszenia bezpieczeństwa danych, prowadzące w szczególności do przypadkowego lub niezgodnego z prawem zniszczenia lub przypadkowej utraty, modyfikacji, nieuprawnionego ujawnienia danych, lub nieuprawnionego dostępu do danych, lub jakiejkolwiek formy niezgodnego z prawem przetwarzania, podlegały skutecznym i odstraszającym środkom naprawczym.
3.Norwegia zgłasza wszelkie naruszenia bezpieczeństwa danych krajowemu organowi nadzorczemu ustanowionemu na podstawie art. 41 dyrektywy (UE) 2016/680.
ARTYKUŁ 10
Ewidencjonowanie i dokumentowanie przetwarzania danych PNR
1.Norweska JIP ewidencjuje i dokumentuje wszelkie operacje przetwarzania danych PNR. Norwegia może wykorzystywać ewidencję lub dokumentację wyłącznie do:
a)własnego monitorowania i weryfikowania zgodności z prawem przetwarzania danych;
b)zapewnienia odpowiedniej integralności danych lub funkcji systemu;
c)zapewnienia bezpieczeństwa przetwarzania danych; oraz
d)zapewnienia nadzoru nad administracją publiczną i jej rozliczalności.
2.Ewidencję lub dokumentację prowadzoną na mocy ust. 1 przekazuje się na żądanie krajowemu organowi nadzorczemu, który wykorzystuje te informacje wyłącznie do celów nadzoru nad ochroną danych i do zapewnienia właściwego przetwarzania danych oraz integralności i bezpieczeństwa danych.
ROZDZIAŁ IV
PRZECHOWYWANIE I UJAWNIANIE DANYCH PNR
ARTYKUŁ 11
Okresy przechowywania
1.Norwegia zapewnia, aby dane PNR otrzymane na podstawie niniejszej Umowy były przechowywane:
a)tylko tak długo, jak długo istnieje obiektywny, nawet pośredni związek między przechowywanymi danymi PNR a co najmniej jednym z celów określonych w art. 5; oraz
b)przez okres nie przekraczający w żadnym przypadku 5 lat.
2.Zgodnie z ust. 1 norweska JIP może przechowywać dane PNR dotyczące wszystkich pasażerów lotniczych wyłącznie przez początkowy okres, który ma być przewidziany w jej prawie krajowym. Długość takiego początkowego okresu nie może wykraczać poza to, co jest ściśle niezbędne, aby JIP miała możliwość przeprowadzenia wyszukiwań, o których mowa w art. 6 ust. 1 lit. b), do celów identyfikacji osób, które nie były jeszcze podejrzane o udział w przestępstwach terrorystycznych lub poważnej przestępczości na podstawie oceny w czasie rzeczywistym zgodnie z art. 6 ust. 1 lit. a).
3.Po upływie początkowego okresu, o którym mowa w ust. 2, norweska JIP może przechowywać wyłącznie dane PNR dotyczące pasażerów, w odniesieniu do których istnieją obiektywne dowody wskazujące na ryzyko związane z przestępstwami terrorystycznymi lub poważną przestępczością.
4.Norwegia zapewnia, aby norweska JIP dokonywała regularnych przeglądów potrzeby dalszego przechowywania danych PNR zgodnie z ust. 2 i 3 niniejszego artykułu.
5.Po upływie odpowiedniego okresu przechowywania Norwegia zapewnia, aby dane PNR zostały ostatecznie usunięte lub zanonimizowane w taki sposób, aby danej osoby nie można już było zidentyfikować.
6.Niezależnie od ust. 1 lit. b) Norwegia może zezwolić na przechowywanie danych PNR niezbędnych do przeglądów, postępowań przygotowawczych, środków przymusu, postępowań sądowych, ścigania karnego lub wykonania kary, do czasu zakończenia odpowiedniego procesu.
ARTYKUŁ 12
Depersonalizacja danych
1.Norweska JIP depersonalizuje dane PNR najpóźniej sześć miesięcy po otrzymaniu tych danych. Dokonuje tego poprzez maskowanie następujących elementów danych, które mogłyby posłużyć do bezpośredniej identyfikacji pasażera, którego dotyczą dane PNR:
a)imię i nazwisko (imiona i nazwiska), w tym imię i nazwisko innych pasażerów wymienionych w danych PNR oraz liczba pasażerów wymienionych w danych PNR podróżujących razem;
b)adres i dane kontaktowe;
c)wszystkie informacje o formie płatności, w tym adres na fakturze, o ile zawierają one jakiekolwiek informacje mogące posłużyć do bezpośredniej identyfikacji pasażera, którego dotyczą dane PNR, lub wszelkich innych osób;
d)informacje dotyczące programów lojalnościowych;
e)ogólne uwagi, o ile zawierają one informacje mogące posłużyć do bezpośredniej identyfikacji pasażera, którego dane PNR dotyczą; oraz
f)wszelkie zebrane dane API.
2.Norweska JIP może ujawniać elementy danych, o których mowa w ust. 1, wyłącznie do celów art. 5 i na warunkach określonych w art. 13 lub 14.
ARTYKUŁ 13
Ujawnianie danych w Norwegii
1.Odpowiadając na należycie uzasadniony wniosek przesłany przez właściwy organ zgodnie z art. 6 lit. b), norweska JIP ujawnia, na podstawie oceny każdego indywidualnego przypadku, dane PNR lub wyniki ich przetwarzania wyłącznie w przypadku, gdy:
a)takie ujawnienie jest niezbędne do osiągnięcia jednego z celów określonych w art. 5;
b)ujawniana jest tylko minimalna ilość niezbędnych danych PNR;
c)otrzymujący właściwy organ zapewnia ochronę równorzędną do zabezpieczeń opisanych w niniejszej Umowie;
d)ujawnienie jest zatwierdzane przez organ sądowy lub inny niezależny organ właściwy na mocy prawa krajowego do ustalenia, czy warunki ujawnienia zostały spełnione.
2.Na zasadzie odstępstwa od ust. 1 lit. d) norweska JIP może ujawnić dane PNR w należycie uzasadnionych pilnych przypadkach bez uprzedniego przeglądu ani uprzedniego zatwierdzenia. W takich przypadkach przegląd, o którym mowa w ust. 1 lit. b), należy przeprowadzić w krótkim czasie.
3.Norwegia zapewnia, aby właściwy organ otrzymujący dane nie ujawniał danych PNR innemu organowi, chyba że norweska JIP wyraźnie zezwoliła na ich ujawnienie.
ARTYKUŁ 14
Ujawnianie danych poza Norwegią i UE
1.Odpowiadając na należycie uzasadniony wniosek przesłany przez właściwy organ państw innych niż państwa członkowskie Unii Europejskiej zgodnie z art. 6 lit. b), norweska JIP ujawnia, na podstawie oceny każdego indywidualnego przypadku, dane PNR lub wyniki ich przetwarzania, wyłącznie w przypadku gdy:
a)takie ujawnienie jest niezbędne do osiągnięcia jednego z celów określonych w art. 5;
b)ujawniana jest tylko minimalna ilość niezbędnych danych PNR;
c)państwo trzecie, którego organowi ujawniane są dane PNR, zawarło z Unią umowę zapewniającą ochronę danych osobowych porównywalną z niniejszą Umową albo podlega decyzji Komisji Europejskiej wydanej zgodnie z prawem Unii Europejskiej, w której uznano, że dane państwo zapewnia odpowiedni poziom ochrony danych w rozumieniu prawa Unii Europejskiej;
d)ujawnienie jest zatwierdzane przez organ sądowy lub inny niezależny organ właściwy na mocy prawa krajowego do ustalenia, czy warunki ujawnienia zostały spełnione.
2.Na zasadzie odstępstwa od ust. 1 lit. c) norweska JIP może ujawnić dane PNR innemu państwu, jeżeli uzna, że ujawnienie jest niezbędne do zapobieżenia poważnemu i bezpośredniemu zagrożeniu bezpieczeństwa publicznego lub do prowadzenia postępowania przygotowawczego w tym celu oraz jeżeli państwo to przedstawi pisemne zapewnienie, na podstawie uzgodnienia, umowy lub w inny sposób, że informacje będą chronione zgodnie z zabezpieczeniami określonymi w niniejszej Umowie.
3.Na zasadzie odstępstwa od ust. 1 lit. d) norweska JIP może ujawnić dane PNR w należycie uzasadnionych pilnych przypadkach bez uprzedniego przeglądu ani uprzedniego zatwierdzenia. W takich przypadkach przegląd, o którym mowa w ust. 1, należy przeprowadzić w krótkim czasie.
ARTYKUŁ 15
Wymiana informacji dotyczących danych PNR
1.Norweska JIP możliwie najszybciej przekazuje Europolowi lub Eurojustowi, w ramach ich odpowiednich uprawnień, lub JIP państw członkowskich dane PNR, wyniki przetwarzania tych danych lub informacje analityczne oparte na danych PNR, w szczególnych przypadkach, gdy jest to niezbędne do zapobiegania przestępstwom terrorystycznym lub poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie lub ich ścigania. Norweska JIP udostępnia takie informacje z własnej inicjatywy lub na wniosek Europolu lub Eurojustu, w zakresie ich odpowiednich mandatów, lub na wniosek JIP państw członkowskich.
2.JIP państw członkowskich możliwie najszybciej przekazują norweskiej JIP dane PNR, wyniki przetwarzania tych danych lub informacje analityczne oparte na danych PNR, w szczególnych przypadkach, gdy jest to niezbędne do zapobiegania przestępstwom terrorystycznym lub poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie lub ich ścigania. JIP państw członkowskich udostępniają takie informacje z własnej inicjatywy lub na wniosek norweskiej JIP.
3.Strony zapewniają, aby informacje, o których mowa w ust. 1 i 2, były udostępniane zgodnie z obowiązującymi przepisami dotyczącymi współpracy organów ścigania lub wymiany informacji między Norwegią a Europolem lub Eurojustem lub danym państwem członkowskim. W szczególności wymiana informacji z Europolem na podstawie niniejszego artykułu musi odbywać się przez bezpieczny kanał komunikacyjny ustanowiony w celu wymiany informacji.
ROZDZIAŁ V
OCHRONA DANYCH
ARTYKUŁ 16
Prawa i obowiązki na mocy dyrektywy (UE) 2016/680
1.Norwegia zapewnia, aby w odniesieniu do przetwarzania danych osobowych przez właściwe organy do celów niniejszej Umowy stosować te same prawa i obowiązki co dyrektywa (UE) 2016/680, w tym wszelkie jej zmiany, które Norwegia zaakceptowała i wdrożyła zgodnie z umową zawartą przez Radę Unii Europejskiej oraz Islandię i Norwegię dotyczącą włączenia tych dwóch państw we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen.
2.Przetwarzanie danych osobowych przez norweską JIP jest nadzorowane przez niezależny organ nadzorczy ustanowiony zgodnie z wdrażaniem i stosowaniem przez Norwegię dyrektywy (UE) 2016/680, w tym wszelkich jej zmian, które Norwegia zaakceptowała i wdrożyła zgodnie z umową zawartą przez Radę Unii Europejskiej oraz Islandię i Norwegię dotyczącą włączenia tych dwóch państw we wprowadzanie w życie, stosowanie i rozwój dorobku Schengen.
3.Niniejszy artykuł pozostaje bez uszczerbku dla stosowania wszelkich bardziej szczegółowych postanowień określonych w niniejszej Umowie, które dotyczą przetwarzania danych PNR.
ARTYKUŁ 17
Przejrzystość i informacja
1.Norwegia zapewnia, aby norweska JIP udostępniała na swojej stronie internetowej następujące informacje:
a)wykaz przepisów prawa zezwalających na przekazywanie danych PNR przez przewoźników lotniczych;
b)powód zbierania i przechowywania danych PNR;
c)sposób przetwarzania i ochrony danych PNR;
d)sposób ujawniania danych PNR oraz zakres, w jakim ujawnienie innym właściwym organom jest dopuszczalne; oraz
e)dane kontaktowe w razie pytań.
2.Norwegia współpracuje z zainteresowanymi stronami trzecimi, takimi jak branża lotnicza i branża podróży lotniczych, w celu promowania przejrzystości, w momencie dokonywania rezerwacji, w odniesieniu do powodów zbierania i przetwarzania danych PNR oraz w odniesieniu do sposobów składania wniosków o dostęp do danych, ich poprawiania i środków ochrony prawnej.
3.Jeżeli dane PNR zatrzymane zgodnie z art. 11 zostały ujawnione zgodnie z art. 13 lub 14, Norwegia, podejmując racjonalne wysiłki, powiadamia zainteresowanych pasażerów o tym fakcie na warunkach określonych zgodnie z art. 13 ust. 2 lit. d) dyrektywy 2016/680 i w rozsądnym terminie, gdy takie powiadomienie nie zagraża już postępowaniom prowadzonym przez zainteresowane organy publiczne – w zakresie, w jakim odpowiednie dane kontaktowe pasażerów są dostępne lub można je pobrać.
ROZDZIAŁ VI
POSTANOWIENIA KOŃCOWE
ARTYKUŁ 18
Powiadomienia
1.Norwegia przekazuje Unii drogą dyplomatyczną powiadomienie, w którym wskazuje następujące organy:
a)norweską JIP, o której mowa w art. 2 ust. 4;
b)krajowy organ nadzorczy, o którym mowa w art. 9 ust. 3.
2.Norwegia niezwłocznie powiadamia o wszelkich zmianach dotyczących wskazania organów, o których mowa w ust. 1.
3.Unia podaje te informacje do wiadomości publicznej.
ARTYKUŁ 19
Wejście w życie
1.Strony zatwierdzają niniejszą Umowę zgodnie ze swoimi procedurami.
2.Niniejsza umowa wchodzi w życie pierwszego dnia następnego miesiąca po dniu otrzymania pisemnego powiadomienia, w którym Norwegia wskazała organy, o których mowa w art. 18 ust. 1, lub pisemnych powiadomień, za pomocą których Strony powiadomiły się wzajemnie drogą dyplomatyczną o zakończeniu procedur, o których mowa w ust. 1, w zależności od tego, która z tych dat jest późniejsza.
ARTYKUŁ 20
Rozstrzyganie sporów i zawieszenie stosowania Umowy
1.Strony rozstrzygają wszelkie spory dotyczące interpretacji, stosowania lub wdrażania niniejszej Umowy w drodze konsultacji w celu osiągnięcia rozwiązania akceptowalnego dla obu Stron, w tym zapewnienia każdej z nich możliwości dostosowania się do ustaleń w rozsądnym terminie.
2.Każda ze Stron może zawiesić stosowanie wszystkich lub niektórych postanowień niniejszej Umowy, powiadamiając o tym drugą Stronę na piśmie drogą dyplomatyczną. Takiego pisemnego powiadomienia dokonuje się dopiero po rozsądnym okresie konsultacji między Stronami. Zawieszenie staje się skuteczne po 2 miesiącach od dnia takiego powiadomienia, chyba że Strony wspólnie zadecydują inaczej.
3.Z chwilą ustania powodów zawieszenia niniejszej Umowy Strona, która zawiesiła jej stosowanie, niezwłocznie zawiadamia drugą Stronę o dacie wznowienia stosowania niniejszej Umowy. Strona zawieszająca powiadamia o tym drugą Stronę na piśmie.
4.Norwegia musi dalej stosować warunki niniejszej Umowy do wszystkich danych PNR otrzymanych przed jej zawieszeniem.
ARTYKUŁ 21
Rozwiązanie Umowy
1.Niniejsza umowa może zostać rozwiązana w dowolnej chwili przez każdą ze Stron w drodze pisemnego powiadomienia drogą dyplomatyczną. Rozwiązanie Umowy staje się skuteczne po trzech miesiącach od dnia otrzymania pisemnego powiadomienia.
2.Jeżeli jedna ze Stron wystosuje powiadomienie o rozwiązaniu na podstawie niniejszego artykułu, Strony decydują, jakie środki są konieczne do zapewnienia stosownego zakończenia współpracy zainicjowanej na mocy niniejszej Umowy.
3.Norwegia musi dalej stosować warunki niniejszej Umowy do wszystkich danych PNR otrzymanych przed jej rozwiązaniem.
ARTYKUŁ 22
Zmiany
1.Niniejsza Umowa może być zmieniona w dowolnej chwili za obopólną zgodą Stron. Zmiany do niniejszej Umowy wchodzą w życie zgodnie z art. 19.
2.Załącznik do niniejszej Umowy może być aktualizowany za obopólną zgodą Stron wyrażoną w drodze pisemnego powiadomienia drogą dyplomatyczną. Takie aktualizacje wchodzą w życie w dniu, o którym mowa w art. 19 ust. 2.
ARTYKUŁ 23
Konsultacje i ocena
1.Strony rozpoczynają konsultacje w odniesieniu do kwestii związanych z monitorowaniem wdrażania niniejszej Umowy. Powiadamiają się one wzajemnie o wszelkich środkach, które mogą wpływać na niniejszą Umowę.
2.Strony przeprowadzają wspólnie ocenę wdrażania niniejszej Umowy, jeżeli zażąda tego jedna ze Stron, a obie podejmą taką decyzję. Dokonując takiej oceny, Strony zwracają szczególną uwagę na konieczność i proporcjonalność przetwarzania danych PNR do każdego z celów określonych w art. 5. Strony z wyprzedzeniem ustalają warunki przeprowadzenia takich ocen.
ARTYKUŁ 24
Terytorialny zakres zastosowania
1.Niniejsza Umowa ma zastosowanie do terytorium Unii Europejskiej zgodnie z Traktatem o Unii Europejskiej i Traktatem o funkcjonowaniu Unii Europejskiej oraz do terytorium Norwegii.
2.Do dnia wejścia w życie niniejszej Umowy Unia Europejska powiadamia Norwegię o państwach członkowskich, do których terytoriów ma zastosowanie niniejsza Umowa. Po tym dniu Unia Europejska może w dowolnej chwili wystosować powiadomienie o wszelkich zmianach w tym zakresie.
Niniejszą Umowę sporządzono w dwóch jednobrzmiących egzemplarzach w językach angielskim, bułgarskim, chorwackim, czeskim, duńskim, estońskim, fińskim, francuskim, greckim, hiszpańskim, irlandzkim, litewskim, łotewskim, maltańskim, niderlandzkim, niemieckim, norweskim, polskim, portugalskim, rumuńskim, słowackim, słoweńskim, szwedzkim, węgierskim i włoskim, przy czym wszystkie teksty są jednakowo autentyczne. W przypadku rozbieżności między tekstami niniejszej Umowy pierwszeństwo ma wersja angielska.
[podpisy]
ZAŁĄCZNIK
ELEMENTY DANYCH DOTYCZĄCYCH PRZELOTU PASAŻERA
O KTÓRYCH MOWA W ART. 2 UST. 5
1. Kod identyfikacyjny danych PNR
2. Data rezerwacji/wystawienia biletu
3. Data(-y) planowanej podróży
4. Imię i nazwisko (imiona i nazwiska)
5. Adres i dane kontaktowe, czyli numer telefonu i adres e-mail dotyczący pasażera
6. Informacje dotyczące sposobów płatności i wystawiania faktury za bilet lotniczy
7. Kompletna trasa podróży dla konkretnych danych PNR
8. Dane na temat programów lojalnościowych dotyczące pasażerów (status i numer w programie lojalnościowym)
9. Biuro podróży/agencja turystyczna
10. Dane o statusie podróży pasażera, w tym potwierdzenia, stan odprawy biletowo-bagażowej, dane typu: pasażer nie stawił się lub pasażer nabył bilet w czasie odprawy bez wcześniejszej rezerwacji
11. Informacje o podzieleniu/rozdzieleniu danych PNR
12. Informacje o osobach małoletnich bez opieki w wieku poniżej 18 lat: imię i nazwisko, płeć, wiek, języki, którymi włada, imię i nazwisko oraz dane kontaktowe opiekuna w momencie odlotu i rodzaj więzi łączącej go z osobą małoletnią, imię i nazwisko oraz dane kontaktowe opiekuna w momencie lądowania i rodzaj więzi łączącej go z osobą małoletnią, imię i nazwisko przedstawiciela obecnego przy odlocie i przylocie.
13. Informacje o wystawieniu biletu, w tym numer biletu, data wystawienia biletu i bilety w jedną stronę, informacja o automatycznie skalkulowanej taryfie
14. Numer miejsca na pokładzie i inne informacje o miejscu
15. Informacje o wspólnej obsłudze połączeń
16. Wszystkie informacje o bagażu
17. Liczba oraz imiona i nazwiska innych podróżnych wymienionych w PNR
18. Wszelkie elementy danych pasażera przekazywanych przed podróżą (API) zbierane przez przewoźników
19. Wszystkie dotychczasowe zmiany danych PNR wymienionych w pkt 1–18.