Co dzieje się z Twoimi danymi, gdy lecisz na wakacje?

Wakacje to czas wzmożonych podróży – często samolotem. Kupując bilet lotniczy, przekazujemy liniom lotniczym wiele informacji potrzebnych do zorganizowania podróży. Większość pasażerów nawet nie zdaje sobie sprawy, że część informacji podawanych podczas zakupu biletu może – na podstawie przepisów prawa – zostać przekazana właściwym organom państwowym. Nie oznacza to jednak, że dane te mogą być wykorzystywane dowolnie.

Jakie informacje są przekazywane? W jakich sytuacjach? Jakie prawa przysługują pasażerom? Odpowiadamy na najważniejsze pytania.

Jakie dane są przekazywane podczas podróży lotniczej?

Przepisy Unii Europejskiej regulują dwa rodzaje danych przekazywanych w związku z podróżą lotniczą – dane API oraz dane PNR. Choć oba mechanizmy dotyczą podróży lotniczych, pełnią różne funkcje i opierają się na odrębnych przepisach.

Dane API (Advance Passenger Information) obejmują podstawowe informacje identyfikujące pasażera oraz informacje dotyczące lotu. Są to przede wszystkim dane pochodzące z dokumentu podróży, takie jak imię i nazwisko, data urodzenia, obywatelstwo czy numer dokumentu podróży, a także informacje o locie. Zgodnie z przepisami dane API są przekazywane właściwym służbom granicznym przed przylotem samolotu w celu usprawnienia odprawy granicznej i przeprowadzenia wstępnych kontroli jeszcze przed przylotem pasażerów.

Dane PNR (Passenger Name Record) to informacje o rezerwacji podróży przechowywane przez przewoźników lotniczych w ich systemach rezerwacji i odprawy pasażerów. Mogą obejmować m.in. datę i trasę podróży, informacje o bilecie, dane kontaktowe pasażera, informacje o bagażu czy wykorzystanych środkach płatniczych. Zgodnie z przepisami przewoźnicy lotniczy przekazują te dane właściwym organom państwowym wyłącznie w przypadkach i celach określonych w dyrektywie PNR. Dane nie trafiają bezpośrednio do wszystkich organów ścigania. W pierwszej kolejności są przekazywane do specjalnie utworzonej jednostki do spraw informacji o pasażerach, która odpowiada za ich gromadzenie, analizę oraz przekazywanie właściwym organom w przypadkach przewidzianych przepisami. W Polsce funkcję tę pełni komórka organizacyjna Straży Granicznej.

Których lotów dotyczą dane API i PNR?

Obowiązek przekazywania danych PNR dotyczy przede wszystkim lotów pozaunijnych, czyli tych pomiędzy państwami członkowskimi Unii Europejskiej, a państwami trzecimi. Państwa członkowskie mogą jednak zdecydować o objęciu tym systemem również wszystkich lub wybranych lotów wewnątrzunijnych.

W przypadku danych API sytuacja jest podobna. Dane te są przekazywane w odniesieniu do lotów pozaunijnych, a na potrzeby zapobiegania przestępstwom terrorystycznym i poważnej przestępczości również w odniesieniu do lotów wewnątrzunijnych, jeżeli dane państwo członkowskie zdecydowało o objęciu takich lotów systemem PNR.

Czy obywatelstwo pasażera ma znaczenie?

Co do zasady nie. O tym, czy dane pasażera mogą być przetwarzane w ramach systemów API i PNR, decydują przede wszystkim rodzaj lotu oraz przepisy regulujące funkcjonowanie poszczególnych mechanizmów, a nie obywatelstwo pasażera. Mogą one mieć zastosowanie zarówno do obywateli państw członkowskich Unii Europejskiej, jak i obywateli państw trzecich.

Jak chronione są dane pasażerów?

Przetwarzanie danych pasażerów nie oznacza, że właściwe organy mogą wykorzystywać je w dowolny sposób. W wyroku z 21 czerwca 2022 r. w sprawie C-817/19 Trybunał Sprawiedliwości Unii Europejskiej podkreślił, że przetwarzanie danych pasażerów powinno być ograniczone do tego, co jest ściśle niezbędne. Wskazał również, że stosowanie systemu PNR do lotów wewnątrz Unii Europejskiej wymaga szczególnych ograniczeń oraz że dalsze przechowywanie danych nie może odbywać się automatycznie, lecz wymaga spełnienia warunków określonych w prawie.

W odpowiedzi na ten wyrok Europejska Rada Ochrony Danych przyjęła stanowisko 2/2025 zawierające zalecenia dotyczące stosowania dyrektywy PNR zgodnie z wykładnią przedstawioną przez Trybunał.

Jakie prawa przysługują pasażerom?

Przepisy dotyczące systemów API i PNR nie wyłączają stosowania gwarancji wynikających z przepisów o ochronie danych osobowych. Osobom, których dane są przetwarzane, przysługują – w zależności od okoliczności – prawa określone w odpowiednich przepisach, w tym prawo dostępu do danych, ich sprostowania, usunięcia lub ograniczenia przetwarzania, a także prawo do wniesienia skargi do właściwego organu ochrony danych osobowych.

W określonych przypadkach przepisy dopuszczają ograniczenie wykonywania niektórych praw. Zakres informacji przekazywanych osobie, której dane dotyczą, może zostać ograniczony, jeżeli jest to konieczne dla działań związanych z zapobieganiem lub zwalczaniem terroryzmu i poważnej przestępczości.

Rola UODO

Przepisy przewidują, że nadzór nad przetwarzaniem danych pasażerów sprawują niezależne organy ochrony danych osobowych. W Polsce funkcję tę pełni Prezes Urzędu Ochrony Danych Osobowych. Do jego zadań należy m.in. rozpatrywanie skarg osób, których dane dotyczą, prowadzenie kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych oraz podejmowanie działań nadzorczych w celu zapewnienia, że dane pasażerów są przetwarzane zgodnie z prawem i z poszanowaniem praw osób, których dane dotyczą.

Podsumowanie

Podróżując samolotem, warto pamiętać, że przekazywanie określonych danych pasażerów wynika z obowiązujących przepisów prawa. Jednocześnie przepisy te wyznaczają ścisłe granice ich wykorzystywania oraz przewidują niezależny nadzór nad ich przetwarzaniem. Ma to zapewnić równowagę pomiędzy potrzebą ochrony bezpieczeństwa a prawem do prywatności i ochrony danych osobowych.