Sprawozdanie Komisji Administracji i Spraw Wewnętrznych o rządowym projekcie ustawy o zmianie ustawy o przetwarzaniu danych dotyczących przelotu pasażera.

Projekt U S T AWA

z dnia

o zmianie ustawy o przetwarzaniu danych dotyczących przelotu pasażera

Art. 1. W ustawie z dnia 9 maja 2018 r. o przetwarzaniu danych dotyczących przelotu pasażera (Dz. U. z 2022 r. poz. 1441) wprowadza się następujące zmiany:

1) w art. 2:

a) pkt 6 otrzymuje brzmienie:

„6) lot PNR – lot pozaunijny albo lot wewnątrzunijny statku powietrznego wykonującego przewóz lotniczy pasażerów, w tym nieodpłatny, podczas którego następuje przekroczenie granicy państwowej, a start albo lądowanie tego statku następuje na terytorium Rzeczypospolitej Polskiej;”,

b) po pkt 6 dodaje się pkt 6a i 6b w brzmieniu:

„6a) lot pozaunijny – lot, który jest planowany pomiędzy terytorium państwa trzeciego a terytorium państwa członkowskiego, bez względu na postoje na terytorium innych państw członkowskich lub państw trzecich;

6b) lot wewnątrzunijny – lot, który jest planowany pomiędzy terytoriami państw członkowskich, bez postojów na terytorium państwa trzeciego;”;

2) w art. 3 we wprowadzeniu do wyliczenia po wyrazach „Dane PNR” dodaje się wyrazy „pasażerów lotów pozaunijnych i lotów wewnątrzunijnych”;

3) po art. 4 dodaje się art. 4a w brzmieniu:

„Art. 4a. 1. W przypadku zaistnienia rzeczywistego i aktualnego lub możliwego do przewidzenia zagrożenia wystąpieniem przestępstw lub przestępstw skarbowych, o których mowa w art. 3, w szczególności zagrożenia o charakterze terrorystycznym, JIP może przetwarzać dane PNR pasażerów lotów wewnątrzunijnych zgromadzone w KSI PNR.

2. Przetwarzanie danych PNR, o którym mowa w ust. 1, dotyczy danych PNR pasażerów lotów wewnątrzunijnych w przypadku:

1) obowiązywania na terytorium Rzeczypospolitej Polskiej stopnia alarmowego, o którym mowa w art. 15 ust. 1 ustawy z dnia 10 czerwca 2016 r. o działaniach antyterrorystycznych (Dz. U. z 2025 r. poz. 194), albo

2) określenia lotu zgodnie z ust. 3 albo 5.

3. Minister właściwy do spraw wewnętrznych na wniosek Komendanta Głównego Straży Granicznej, sporządzony na podstawie informacji uzyskanych od właściwych organów, uwzględniających kryteria tras lotniczych, planów podróży oraz lotnisk, z zachowaniem przepisów o ochronie informacji niejawnych, może określić, w drodze zarządzenia niepodlegającego ogłoszeniu, loty wewnątrzunijne objęte prawem przetwarzania danych PNR.

4. Komendant Główny Straży Granicznej na podstawie informacji uzyskanych od właściwych organów dokonuje na bieżąco weryfikacji zasadności objęcia lotów wewnątrzunijnych prawem przetwarzania danych PNR i nie rzadziej niż raz na rok przedkłada ministrowi właściwemu do spraw wewnętrznych informację w tej sprawie.

5. Właściwy organ, osoba przez niego upoważniona albo inna osoba upoważniona w trybie, o którym mowa w art. 31 ust. 4, mogą się zwrócić do JIP we wniosku, o którym mowa w art. 21 ust. 1, o objęcie lotu wewnątrzunijnego prawem przetwarzania danych PNR, w przypadku:

1) postępowania przed sądem – za zgodą sądu prowadzącego postępowanie;

2) postępowania przygotowawczego – za zgodą prokuratora prowadzącego lub nadzorującego postępowanie;

3) czynności operacyjno-rozpoznawczych – za zgodą prokuratora okręgowego właściwego ze względu na siedzibę organu wykonującego te czynności.

6. Zgoda na objęcie lotu wewnątrzunijnego prawem przetwarzania danych PNR może być wydana, w przypadku gdy przetwarzanie danych PNR pasażerów lotów wewnątrzunijnych jest niezbędne ze względu na zaistnienie zagrożenia wystąpieniem przestępstw lub przestępstw skarbowych, o których mowa w art. 3, w szczególności zagrożenia o charakterze terrorystycznym, a lot ten nie został określony na podstawie zarządzenia, o którym mowa w ust. 3, albo takie zarządzenie nie obowiązuje.

7. Zgoda na objęcie lotu wewnątrzunijnego prawem przetwarzania danych PNR jest udzielana na wniosku, o którym mowa w art. 21 ust. 1.”;

4) w art. 5 ust. 1 otrzymuje brzmienie: „1. Przewoźnik lotniczy, który obsługuje lot PNR, przekazuje do JIP dane PNR dotyczące pasażerów tego lotu, spośród kategorii danych PNR, które gromadzi w trakcie prowadzonej przez siebie działalności w celu dokonania rezerwacji lub realizacji przewozu lotniczego, niezależnie od ograniczeń dotyczących przetwarzania danych PNR określonych w art. 4a.”;

5) w art. 6:

a) w ust. 2 pkt 2 otrzymuje brzmienie:

„2) pkt 2 – polega na przesłaniu danych PNR pasażerów znajdujących się na pokładzie statku powietrznego, którzy po zakończeniu odprawy biletowo-bagażowej i wejściu na pokład statku powietrznego nie mogą go opuścić przed startem, a inni pasażerowie nie mogą wejść na pokład. Przekazanie tych danych PNR może polegać na aktualizacji danych PNR przekazanych w terminie, o którym mowa w ust. 1 pkt 1.”,

b) w ust. 3 po wyrazie „ponownie” dodaje się wyrazy „ , z uwzględnieniem tych zmian”;

6) art. 10 otrzymuje brzmienie:

„Art. 10. 1. Przewoźnik lotniczy, na wniosek JIP, w celu zapewnienia skutecznego przekazania danych PNR, informuje JIP w formie pisemnej w postaci papierowej lub elektronicznej o:

1) swoich danych: nazwie, adresie, numerze telefonu oraz adresie e-mail,

2) wybranym przez siebie spośród określonych w przepisach wykonawczych wydanych na podstawie art. 8 ust. 3 pkt 1 protokole i formacie danych, wykorzystywanych do przekazania danych PNR do JIP,

3) elementach kategorii gromadzonych przez siebie danych PNR

– w terminie 14 dni od dnia doręczenia wniosku JIP.

2. W stosunku do przewoźnika lotniczego, o którym mowa w art. 8 ust. 4, nie stosuje się obowiązku określonego w ust. 1 pkt 2.

3. W przypadku gdy zmieniły się dane, o których mowa w ust. 1, przewoźnik lotniczy niezwłocznie, jednak nie później niż w terminie 30 dni od dnia, w którym nastąpiła zmiana tych danych, przekazuje ich aktualizację w formie pisemnej w postaci papierowej lub elektronicznej do JIP.”;

7) w art. 18:

a) w ust. 1 w pkt 2 wyrazy „art. 10 ust. 1 pkt 4” zastępuje się wyrazami „art. 10 ust. 1 pkt 3”,

b) po ust. 1 dodaje się ust. 1a–1c w brzmieniu: „1a. JIP dokonuje weryfikacji na podstawie rocznego planu weryfikacji lub na polecenie Komendanta Głównego Straży Granicznej.

1b. Roczny plan weryfikacji na każdy kolejny rok opracowuje JIP na podstawie analizy ryzyka wystąpienia nieprawidłowości przy przekazaniu danych PNR, w szczególności nieprawidłowości przy przekazaniu danych PNR mających istotne znaczenie dla wykrywania i zwalczania przestępstw lub przestępstw skarbowych, o których mowa w art. 3, a następnie przedkłada go Komendantowi Głównemu Straży Granicznej do zatwierdzenia.

1c. Komendant Główny Straży Granicznej zatwierdza przedłożony mu roczny plan weryfikacji nie później niż do dnia 20 grudnia roku poprzedzającego rok, na który ten plan opracowano.”,

c) dodaje się ust. 5i6w brzmieniu: „5. Naruszenia stwierdzone przez JIP w wyniku weryfikacji uznaje się za niedopełnienie obowiązku przekazania danych PNR, o którym mowa w art. 5 ust. 1, chyba że przewoźnik lotniczy przedstawi w terminie 60 dni od dnia doręczenia zawiadomienia o wszczęciu postępowania administracyjnego w sprawie naruszenia przez przewoźnika lotniczego obowiązku przekazania danych PNR dowód potwierdzający, że wykonany lot nie był lotem PNR, przewoźnik lotniczy nie posiadał danych PNR w terminach, o których mowa w art. 6 ust. 1, lub wystąpiły okoliczności, o których mowa w art. 69.

6. Za dowód, o którym mowa w ust. 5, może być uznana w szczególności informacja uzyskana od Polskiej Agencji Żeglugi Powietrznej, zarządzającego lotniskiem, podmiotu, na rzecz którego był realizowany lot, podmiotu, który gromadzi dane pasażerów w celu rezerwacji lub realizacji lotu przez przewoźnika lotniczego, lub podmiotu realizującego zadania w zakresie obsługi naziemnej statków powietrznych. Jeżeli informacja stanowiąca dowód została sporządzona w języku obcym, przewoźnik lotniczy przesyła ją wraz z tłumaczeniem na język polski wykonanym przez tłumacza przysięgłego na koszt przewoźnika lotniczego.”;

8) w art. 21 w ust. 4 pkt 1 otrzymuje brzmienie:

„1) zgodę, o której mowa w art. 4a ust. 5 lub art. 33 ust. 2;”;

9) w art. 23 pkt 7 otrzymuje brzmienie:

„7) nie uzyskano zgody, o której mowa w art. 4a ust. 5 lub art. 33 ust. 2.”;

10) w art. 32 ust. 1 otrzymuje brzmienie: „1. Dane PNR są przechowywane przez JIP przez:

1) 5 lat od dnia ich zgromadzenia – w przypadku danych PNR pasażerów lotów pozaunijnych,

2) 3 lata od dnia ich zgromadzenia – w przypadku danych PNR pasażerów lotów wewnątrzunijnych

– a po upływie tego okresu podlegają niezwłocznie trwałemu usunięciu w sposób zautomatyzowany przy wykorzystaniu KSI PNR.”;

11) w art. 33:

a) ust. 3 otrzymuje brzmienie: „3. Zgoda, o której mowa w ust. 2, jest wydawana, w przypadku gdy przetwarzanie zdepersonalizowanych danych PNR jest niezbędne do realizacji celu określonego w art. 1 ust. 1 i dotyczy danych PNR zgromadzonych w KSI PNR nie wcześniej niż 2 lata od dnia ich zgromadzenia.”,

b) po ust. 3 dodaje się ust. 3a w brzmieniu: „3a. W przypadku gdy przetwarzanie zdepersonalizowanych danych PNR jest niezbędne do realizacji celu określonego w art. 1 ust. 1, a uzyskanie takich informacji w inny sposób okazało się bezskuteczne albo nie jest możliwe, zgoda, o której mowa w ust. 2, może dotyczyć także danych PNR zgromadzonych w KSI PNR wcześniej niż 2 lata od dnia ich zgromadzenia.”;

12) w art. 64 w ust. 1 pkt 2 otrzymuje brzmienie:

„2) nie przekazuje do JIP wszystkich zgromadzonych w celu dokonania rezerwacji lub realizacji lotu PNR elementów kategorii danych PNR, o których mowa w art. 10 ust. 1 pkt 3, do których przekazania był zobowiązany na podstawie art. 5 ust. 1, narusza obowiązek wynikający z art. 6 ust. 2 pkt 2 albo obowiązek wynikający z art. 6 ust. 3, podlega administracyjnej karze pieniężnej w wysokości 12 000 zł”;

13) w art. 65:

a) w ust. 2 i 3 wyrazy „obniżonej o 50 %” zastępuje się wyrazami „obniżonej o 75 %”,

b) po ust. 3 dodaje się ust. 3a–3c w brzmieniu: „3a. W przypadku gdy naruszenie, o którym mowa w art. 64 ust. 1, dotyczące niedopełnienia obowiązku przekazania danych PNR w terminach określonych w art. 6 ust. 1 zostało usunięte przez przewoźnika lotniczego w terminie 7 dni od dnia wylądowania statku powietrznego, administracyjną karę pieniężną za takie naruszenie nakłada się w wysokości obniżonej o 50 %.

3b. W przypadku gdy naruszenie, o którym mowa w art. 64 ust. 1, dotyczące niedopełnienia obowiązku przekazania danych PNR w terminach określonych w art. 6 ust. 1 zostało usunięte przez przewoźnika lotniczego w terminie 14 dni od dnia wylądowania statku powietrznego, administracyjną karę pieniężną za takie naruszenie nakłada się w wysokości obniżonej o 25 %.

3c. W przypadku gdy naruszenie, o którym mowa w art. 64, wystąpiło w okresie 60 dni od dnia wykonania przez przewoźnika lotniczego pierwszego lotu PNR i w tym okresie ten przewoźnik:

1) zapewnił warunki techniczne umożliwiające sprawne i skuteczne przekazywanie przez niego danych PNR do JIP oraz

2) przekazał do JIP wszystkie dane PNR pasażerów lotów objętych takim obowiązkiem począwszy od dnia wykonania pierwszego lotu PNR

– administracyjnej kary pieniężnej za takie naruszenie nie nakłada się.”;

14) art. 66 otrzymuje brzmienie:

„Art. 66. 1. Przewoźnik lotniczy, który nie dopełnia obowiązków określonych w art. 10 ust. 1 w terminie, o którym mowa w tym przepisie, podlega administracyjnej karze pieniężnej w wysokości 5000 zł za każde takie naruszenie.

2. Tej samej karze podlega przewoźnik lotniczy, który nie dopełnia obowiązku określonego w art. 10 ust. 3.”;

15) art. 69 otrzymuje brzmienie:

„Art. 69. Postępowania w sprawie naruszenia przez przewoźnika lotniczego obowiązku przekazania danych PNR nie wszczyna się, a wszczęte umarza, gdy naruszenie, o którym mowa w art. 64, nastąpiło wskutek:

1) działania siły wyższej;

2) awarii KSI PNR;

3) awarii powstałej po stronie przewoźnika lotniczego, niezawinionej przez tego przewoźnika, pod warunkiem poinformowania JIP o powstałej awarii, nie później niż 30 dni od dnia upływu terminu przekazania danych PNR, oraz przekazania w tym terminie danych PNR, które nie zostały wskutek tej awarii przekazane, chyba że ten przewoźnik je utracił wskutek tej awarii.”;

16) uchyla się art. 71.

Art. 2. 1. Nie wszczyna się postępowania administracyjnego w sprawie naruszenia przez przewoźnika lotniczego obowiązków określonych w art. 5, art. 6 i art. 10 ustawy zmienianej w art. 1, w brzmieniu dotychczasowym, oraz art. 7 i art. 8 tej ustawy, a wszczęte umarza, jeżeli naruszenie miało miejsce przed dniem wejścia w życie niniejszej ustawy, a przewoźnik lotniczy nie później niż w terminie 3 miesięcy od dnia wejścia w życie niniejszej ustawy spełnił warunki przekazania danych PNR określone w art. 8 ustawy zmienianej w art. 1 lub w okresie roku przed dniem wejścia w życie niniejszej ustawy nie obsługiwał żadnego lotu PNR, lub jeżeli naruszenie jest związane z obsługą lotu wewnątrzunijnego.

2. Nie wszczyna się postępowania przed wojewódzkimi sądami administracyjnymi oraz przed Naczelnym Sądem Administracyjnym w sprawie naruszenia przez przewoźnika lotniczego obowiązków określonych w art. 5, art. 6 i art. 10 ustawy zmienianej w art. 1, w brzmieniu dotychczasowym, oraz art. 7 i art. 8 tej ustawy, a wszczęte umarza, jeżeli naruszenie miało miejsce przed dniem wejścia w życie niniejszej ustawy, a przewoźnik lotniczy nie później niż w terminie 3 miesięcy od dnia wejścia w życie niniejszej ustawy spełnił warunki przekazania danych PNR określone w art. 8 ustawy zmienianej w art. 1 lub w okresie roku przed dniem wejścia w życie niniejszej ustawy nie obsługiwał żadnego lotu PNR, lub jeżeli naruszenie jest związane z obsługą lotu wewnątrzunijnego.

3. Nie wszczyna się postępowania egzekucyjnego dotyczącego administracyjnej kary pieniężnej nałożonej na przewoźnika lotniczego za naruszenie obowiązku określonego w art. 5, art. 6 i art. 10 ustawy zmienianej w art. 1, w brzmieniu dotychczasowym, oraz art. 7 i art. 8 tej ustawy, a wszczęte umarza, jeżeli naruszenie miało miejsce przed dniem wejścia w życie niniejszej ustawy, a przewoźnik lotniczy nie później niż w terminie 3 miesięcy od dnia wejścia w życie niniejszej ustawy spełnił warunki przekazania danych PNR określone w art. 8 ustawy zmienianej w art. 1 lub w okresie roku przed dniem wejścia w życie niniejszej ustawy nie obsługiwał żadnego lotu PNR, lub jeżeli naruszenie jest związane z obsługą lotu wewnątrzunijnego.

Art. 3. Dane PNR pasażerów lotów wewnątrzunijnych zgromadzone w Krajowym Systemie Informatycznym PNR wcześniej niż 3 lata przed dniem wejścia w życie niniejszej ustawy zostają trwale usunięte w sposób zautomatyzowany przy wykorzystaniu tego systemu nie później niż w terminie 3 miesięcy od dnia wejścia w życie niniejszej ustawy.

Art. 4. Pierwszy roczny plan weryfikacji, o którym mowa w art. 18 ust. 1a ustawy zmienianej w art. 1, opracowuje się za rok 2026.

Art. 5. Ustawa wchodzi w życie po upływie 14 dni od dnia ogłoszenia.