Unia Europejska i Kanada w 2014 roku podpisały umowę o przekazywaniu i przetwarzaniu danych dotyczących przelotu pasażera (tzw. dane PNR – Passenger Name Record). W poprzednim artykule omówiono szczegółowo elementy danych PNR oraz kwestie ich ochrony. Wskazano także cele w jakich umowa ta została sporządzona.
26 lipca br. Trybunał Sprawiedliwości UE zablokował wejście umowy w życie ze względu na jej sprzeczność z postanowieniami Karty Praw Podstawowych UE (dalej: ,,KPP”) dotyczącymi prawa do prywatności i ochrony danych osobowych.
I. Opinia TSUE blokująca wejście w życie Umowy PNR
1) Ingerencja w prawa podstawowe
Art. 7 KPP stanowi, że każdy ma prawo do poszanowania życia prywatnego i rodzinnego, domu i komunikowania się. Art. 8 ust. 1 KPP gwarantuje każdemu prawo do ochrony danych osobowych, które go dotyczą.
Zdaniem TSUE, dane PNR zdefiniowane w Umowie PNR i obejmujące informacje wskazane w załączniku do niej, odnoszące się do zidentyfikowanych osób fizycznych, a mianowicie pasażerów lotniczych korzystających z lotów między UE i Kanadą, dotyczą prawa podstawowego do poszanowania życia prywatnego. Prawo to odnosi się, jak już wielokrotnie podkreślał TSUE, do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
Z kolei, postanowienia Umowy PNR dotyczące przetwarzania, zatrzymywania danych PNR oraz ich wykorzystywania i ewentualnego późniejszego przekazywania publicznym organom kanadyjskim lub zagranicznym stanowią ingerencję w prawo podstawowe do ochrony danych osobowych.
TSUE podkreślił, że „nawet jeśli niektóre dane PNR, rozpatrywane oddzielnie, nie wydają się ujawniać istotnych informacji o życiu prywatnym danych osób, to jednak, rozpatrywane jako całość, mogą m.in. ujawniać pełną trasę podróży, nawyki turystyczne, relacje miedzy dwoma osobami lub większą ich liczbą, a także informacje o sytuacji finansowej pasażerów lotniczych, ich zwyczajach żywieniowych lub stanie zdrowia, a nawet mogą dostarczać o tych pasażerach informacji szczególnie chronionych”.
Konieczne stało się zatem zbadanie, czy ingerencja w ww. prawa podstawowe mogą być uzasadnione.
2) (Nie)uzasadniony charakter ingerencji w prawa podstawowe
TSUE wskazał, że cel Umowy PNR, a mianowicie zapewnienie bezpieczeństwa publicznego poprzez przekazywanie danych PNR do Kanady i wykorzystywanie ich w ramach zwalczania przestępstw terrorystycznych i innych poważnych przestępstw międzynarodowych, stanowi „cel interesu ogólnego UE, który może uzasadniać ingerencje, nawet poważne, w prawa podstawowe ustanowione w art. 7 i 8 KPP”.
Zdaniem TSUE, ingerencja w ww. prawa podstawowe, w okolicznościach opisanych w Umowie PNR, nie narusza istoty tych praw. Dane PNR nawet jeśli mogą ujawniać dokładne informacje na temat życia prywatnego danej osoby, to jednak zawężone są do pewnego wycinka tego życia prywatnego, tj. do podróży lotniczych między Kanadą i UE. Z kolei, gdy chodzi o ochronę danych osobowych, Umowa PNR zakreśla cele przetwarzaniach danych PNR (art. 3 Umowy PNR) oraz normy, które mają służyć ich ochronie (art. 9 Umowy PNR).
TSUE zaznaczył, że przekazywanie do Kanady danych szczególnie chronionych wymagałoby precyzyjnego i szczególnie solidnego uzasadnienia, wywodzonego z innych powodów niż ochrona bezpieczeństwa publicznego przed terroryzmem i poważną przestępczością międzynarodową. Umowa PNR takiego uzasadnienia dla przekazywania danych szczególnie chronionych nie zawiera. Trybunał uznał zatem, że postanowienia w Umowy PNR dotyczące przekazywania do Kanady danych szczególnie chronionych, a także ich przetwarzania i zatrzymywania, są niezgodne z prawami podstawowymi.
3) Brak koniecznego charakteru ingerencji
Badając konieczny charakter ingerencji w prawa podstawowe, TSUE uznał, że liczne postanowienia Umowy PNR nie są ograniczone do tego, co ściśle konieczne i nie zawierają jasnych i precyzyjnych reguł. TSUE odniósł się przede wszystkim do możliwości przekazywania do Kanady danych szczególnie chronionych.
Umowa PNR powinna podkreślać w sposób jasny i precyzyjny dane PNR, które przewoźnicy lotniczy mają obowiązek przekazywać Kanadzie na podstawie tej umowy. Załącznik do Umowy PNR zawiera natomiast pewne nieścisłości, jeśli chodzi o informacje wchodzące w skład danych PNR. TSUE wskazał przede wszystkim na pkt 5, 7, czy 17 (zob. wyżej część I artykułu „Dane PNR”). Zdaniem Trybunału dane PNR, które przewoźnicy lotniczy mieliby przekazywać nie zostały określone w sposób wystarczająco jasny i precyzyjny. TSUE zwrócił uwagę na użyte w ww. punktach skróty i sformułowania: „itd.”, czy „wszelkie dostępne informacje”, „w tym”. Takie sformułowanie ww. punktów wskazuje na szeroki zakres informacji, jakie obejmują.
Ponadto, Trybunał uznał, oceniając zautomatyzowaną analizę danych PNR, że Umowa PNR „nie wykracza poza granice tego, co ściśle konieczne, gdy pozwala na przekazywanie danych PNR wszystkich pasażerów lotniczych do Kanady. Zautomatyzowane przetwarzanie danych przed przybyciem pasażerów do Kanady ułatwia i przyspiesza kontrole, zwłaszcza na granicach. Umożliwia również zidentyfikowanie ryzyka dla bezpieczeństwa publicznego.
Trybunał z powyższych względów uznał również, że „dopóki pasażerowie lotniczy przebywają w Kanadzie lub są w trakcie jej opuszczania, dopóty istnieje konieczny związek między tymi danymi a celem tej umowy, a zatem umowa ta nie wykracza poza granice tego, co ściśle konieczne, z tego jedynie względu, że pozwala na zatrzymywanie i systematyczne wykorzystywanie danych PNR wszystkich pasażerów”.
Trybunał rozważył również przypadek, w którym „podczas pobytu pasażerów lotniczych w Kanadzie i niezależnie od wyniku zautomatyzowanej analizy danych PNR dokonanej przed ich przybyciem do tego państwa trzeciego może się okazać, że kanadyjski właściwy organ posiada wskazówki, zgromadzone w trakcie tego pobytu, z których wyniknie konieczność wykorzystania ich danych w celu zwalczania terroryzmu i poważnych przestępstw międzynarodowych”. W takiej sytuacji, zdaniem TSUE, „skoro pasażerowie lotniczy zostali – po sprawdzeniu ich danych PNR – wpuszczeni na terytorium tego państwa trzeciego, to wykorzystanie rzeczonych danych podczas ich pobytu powinno opierać się na nowych okolicznościach uzasadniających takie wykorzystanie”. Konieczne jest zatem ustanowienie norm określających materialne i formalne przesłanki, które będą regulować takie wykorzystywanie i chronić dane PNR przed ryzykiem nadużyć. Trybunał zwrócił uwagę na to, by owe normy opierały się na obiektywnych kryteriach, by określić okoliczności i warunki, w jakich kanadyjskie organy wskazane w przewidywanej umowie są upoważnione do ich wykorzystania.
Ponadto, Trybunał wskazał, że zagwarantowanie pełnego przestrzegania ww. warunków „kluczowe jest, by wykorzystywanie podczas pobytu pasażerów lotniczych w Kanadzie zatrzymanych danych PNR było co do zasady, z wyjątkiem nagłych, należycie uzasadnionych wypadków, uzależnione od uprzedniej kontroli dokonywanej bądź przez sąd, bądź przez niezależny organ administracyjny, oraz by rozstrzygnięcie tego sądu lub tego organu było wydawane w następstwie uzasadnionego wniosku właściwych organów złożonego w szczególności w ramach postępowań mających na celu zapobieganie przestępstwom, ich wykrywanie lub ściganie”.
Z kolei, po opuszczeniu Kanady przez pasażerów lotniczych, ciągłe przechowywanie ich danych PNR, na które pozwala Umowa PNR, nie jest zdaniem Trybunału, ograniczone do tego, co ściśle konieczne. „(…) ich dane PNR zostały zweryfikowane przed ich przybyciem oraz ewentualnie podczas pobytu i przy opuszczaniu tego państwa trzeciego. W tych okolicznościach należy uznać, że pasażerowie ci co do zasady nie stwarzają zagrożenia w zakresie terroryzmu lub poważnych przestępstw międzynarodowych, skoro ani te kontrole, ani te weryfikacje nie wykazały istnienia obiektywnych, wskazujących na to elementów. W każdym razie nie wydaje się, by ogół pasażerów lotniczych, którzy podróżowali do Kanady, stanowił po opuszczeniu tego państwa większe zagrożenie niż inne osoby, które nie podróżowały do tego państwa w okresie ostatnich pięciu lat (…)”.Tak więc „jeżeli chodzi o pasażerów lotniczych, w odniesieniu do których takiego ryzyka nie zidentyfikowano w chwili ich przybycia do Kanady i aż do opuszczenia przez nich tego państwa trzeciego, okazuje się, że od chwili ich wyjazdu nie istnieje chociażby pośredni związek między ich danymi PNR a celem przewidywanej umowy, który to związek uzasadniałby zatrzymanie tych danych”.
Oprócz wyżej wskazanych kwestii, również inne postanowienia Umowy PNR zostały uznane przez Trybunał za niezgodne z prawami podstawowymi, chyba że zostaną one odpowiednio doprecyzowane.
RODO czyli rozporządzenie ogólne o ochronie danych osobowych – dowiedz się więcej!
4) Zalecenia TSUE
By Umowa PNR była zgodna z prawami podstawowymi przewidzianymi w KPP, powinna:
a) określać w sposób jasny i precyzyjny dane PNR podlegające przekazaniu z UE do Kanady;
b) przewidywać, że modele i kryteria używane przy zautomatyzowanym przetwarzaniu danych PNR będą konkretne i wiarygodne, a także niedyskryminujące; przewidywać, że wykorzystywane bazy danych będą ograniczone do baz wykorzystywanych przez Kanadę w związku ze zwalczaniem terroryzmu i poważnych przestępstw międzynarodowych;
c) uzależnić – poza zakresem weryfikacji dotyczących określonych wcześniej modeli i kryteriów, na których opiera się zautomatyzowane przetwarzanie danych PNR – wykorzystywanie tych danych przez kanadyjski właściwy organ podczas pobytu pasażerów lotniczych w Kanadzie i po opuszczeniu przez nich tego państwa, podobnie jak wszelkie udostępnianie tych danych innym organom, od materialnych i proceduralnych przesłanek opartych na obiektywnych kryteriach; uzależnić rzeczone wykorzystywanie i udostępnianie, z wyjątkiem nagłych, należycie uzasadnionych wypadków, od uprzedniej kontroli dokonywanej bądź przez sąd, bądź przez niezależny organ administracyjny, których rozstrzygnięcie zezwalające na wykorzystanie jest wydawane w następstwie uzasadnionego wniosku rzeczonych organów, złożonego w szczególności w ramach postępowań mających na celu zapobieganie przestępstwom, ich wykrywanie lub ściganie;
d) ograniczyć zatrzymywanie danych PNR po wyjeździe pasażerów lotniczych do tych pasażerów, w odniesieniu do których istnieją obiektywne elementy pozwalające na uznanie, że mogliby oni stanowić zagrożenie w rozumieniu zwalczania terroryzmu i poważnych przestępstw międzynarodowych;
e) uzależnić udostępnianie danych PNR przez kanadyjski właściwy organ organom rządowym państwa trzeciego od przesłanki istnienia bądź to umowy między UE a tym państwem trzecim równoważnej przewidywanej umowie, bądź decyzji Komisji przyjętej na podstawie art. 25 ust. 6 Dyrektywy 95/46/WE [Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych], obejmującej organy, którym zamierza się przekazywać dane PNR;
f) przewidywać prawo pasażerów lotniczych do indywidualnego informowania w wypadku wykorzystywania dotyczących ich danych PNR podczas ich pobytu w Kanadzie i po opuszczeniu przez nich tego państwa, a także w wypadku udostępnienia tych danych przez kanadyjski właściwy organ innym organom lub osobom fizycznym; oraz
g) gwarantować, że nadzór nad przestrzeganiem zawartych w przewidywanej umowie norm odnoszących się do ochrony pasażerów lotniczych w zakresie przetwarzania dotyczących ich danych PNR będzie sprawowany przez niezależny organ kontroli.
W obecnym kształcie, bez ww. sugerowanych zmian, Umowa PNR nie może zostać zawarta i wejść w życie.
Bez wątpienia, omawiana opinia TSUE wpłynie na losy Umowy PNR, a także na wcześniejsze umowy zawarte przez UE z innymi państwami trzecimi. Opinia ta może również odcisnąć swoje piętno na implementacji przez państwa członkowskie Dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/681 z dnia 27 kwietnia 2016 r. w sprawie wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania.
RODO czyli rozporządzenie ogólne o ochronie danych osobowych – dowiedz się więcej!
Masz pytania dotyczące tematu artykułu? Skontaktuj się z autorem.
dr Katarzyna Pfeifer – Chomiczewska
Prawnik
