Zasady przetwarzania danych pasażerów samolotów zależne od kategorii lotu, krótszy okres na przechowywanie niektórych danych i abolicja dla przewoźników – takie nowości wprowadza podpisana 21 sierpnia 2025 r. przez prezydenta i obowiązująca od 10 września 2025 r., długo wyczekiwana ustawa o przetwarzaniu danych dotyczących przelotu pasażera. Nowelizacja jest odpowiedzią na trudności, jakie napotykali przewoźnicy lotniczy, a także dostosowaniem polskiego prawa do wyroku Trybunału Sprawiedliwości Unii Europejskiej (TSUE) z 21 czerwca 2022 r. (C-817/19). Zmiany mają kolosalne znaczenie dla linii lotniczych, a także dla Krajowej Jednostki ds. Informacji o Pasażerach, którą w Polsce jest Straż Graniczna.

Surowe kary, a branża w kryzysie

Historia nowelizacji ustawy o PNR, bo tak w praktyce jest nazywana ustawa o przetwarzaniu danych dotyczących przelotu pasażera, sięga roku 2021. Pierwotny tekst ustawy był implementacją do polskiego porządku prawnego dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/681 i wszedł w życie 9 czerwca 2018 r.

Ustawa zawierała przepisy karne, w myśl których – nieco upraszczając – nieprzekazanie w terminie danych dotyczących przelotu pasażera przez linie lotnicze Straży Granicznej lub przekazanie niepełnych danych było zagrożone administracyjnymi karami pieniężnymi. Ich wysokość mogła sięgać 40 tys. zł za każdy lot, którego dotyczyło naruszenie.

W połowie 2021 r., czyli trzy lata od wejścia w życie ustawy, liczba naruszeń skutkujących możliwością nałożenia na operujące w Polsce linie lotnicze kar administracyjnych szacowana była na kwotę 4 mld zł. Kłopoty z przekazywaniem danych PNR były spowodowane przede wszystkim trudnościami technicznymi występującymi po stronie linii lotniczych w pierwszym okresie obowiązywania ustawy, ale liczba prawidłowo przekazanych danych stale wzrastała. Jednocześnie linie lotnicze borykały się w tym czasie z kryzysem wywołanym czasowym zamknięciem przestrzeni powietrznej związanym z pandemią COVID-19, a straty poniesione w latach 2020–2021 liczono w miliardach dolarów.

Mając na uwadze stan rynku lotnictwa cywilnego w Polsce w tamtym czasie, ustawodawca, motywowany presją ze strony linii lotniczych, wyszedł z inicjatywą noweli, która z jednej strony miała zamrozić wszczynanie i prowadzenie postępowań o nałożenie kar administracyjnych za naruszenia ustawy o PNR na dwa lata, z drugiej zaś – wydłużyłaby okres przedawnienia terminu do nałożenia kar administracyjnych z trzech do pięciu lat. Ustawa nowelizacyjna weszła w życie 5 lutego 2022 r. i została przyjęta przez przedstawicieli rynku z ulgą, niemniej jednak była rozwiązaniem czasowym.

Od 5 lutego 2024 r. przepisy ustawy PNR dotyczące nakładania kar administracyjnych za naruszenie jej przepisów wróciły, a Straż Graniczna oraz sądy administracyjne wznowiły postępowania. Trzeba przy tym podkreślić, że w tym czasie – jak informowała Straż Graniczna – przypadki naruszeń ustawy były już marginalne, zaś poziom prawidłowo przekazywanych danych PNR sięgał 99,8 proc. Dodatkowo w czerwcu 2021 r. TSUE, w wyroku wydanym w wyniku pytania prejudycjalnego zadanego przez belgijski sąd konstytucyjny dotyczącego przepisów dyrektywy PNR (2016/681), dokonał ich wykładni. Stwierdził, że zbieranie danych dotyczących przelotu pasażerów nie powinno dotyczyć tzw. lotów wewnątrzunijnych, tj. takich, których początek i koniec jest zlokalizowany na terytorium Unii Europejskiej.

Wszystko to doprowadziło do wznowienia prac nad kolejną nowelizacją ustawy o PNR, która miała rozwiązać problem historycznych naruszeń przepisów i związanych z tym ryzykiem nałożenia wielomilionowych kar administracyjnych, a także dostosowaniem polskiego prawa do rozstrzygnięć sądów europejskich. Do prac nad projektem, pilotowanym przez Ministerstwo Infrastruktury, została zaangażowana również strona społeczna.

Aktywny udział brały w nich organizacje zrzeszające przewoźników lotniczych – Rada Przedstawicieli Linii Lotniczych w Polsce (BARIP) oraz International Air Transport Association (IATA).

TSUE ogranicza przekazywanie danych

Orzeczenie z 21 czerwca 2021 r. było odpowiedzią na pytanie prejudycjalne belgijskiego sądu konstytucyjnego, które dotyczyło przede wszystkim zgodności przepisów dyrektywy 2016/681 z Kartą praw podstawowych UE. TSUE podkreślił, że akty unijne powinny być interpretowane, w miarę możliwości, w sposób, który nie podważa ich ważności i jest zgodny z prawem pierwotnym jako całością, w szczególności z postanowieniami Karty praw podstawowych Unii Europejskiej. Jednocześnie Trybunał stwierdził, że przepisy krajowe, które zezwalają na przetwarzanie danych PNR do celów innych niż zapobieganie, wykrywanie, dochodzenie i ściganie przestępstw terrorystycznych i poważnych przestępstw, są sprzeczne z dyrektywą 2016/681 interpretowaną w świetle karty.

Trybunał zdecydowanie podkreślił, że przekazywanie i przetwarzanie danych PNR w celu poprawy kontroli granicznej i zwalczania nielegalnej imigracji jest sprzeczne z prawem UE. TSUE orzekł również, że przepisy dyrektywy w połączeniu z przepisami karty wykluczają regulacje krajowe, w tym przepisy prawa polskiego, które przewidują ogólny pięcioletni okres przechowywania danych PNR mający zastosowanie do wszystkich pasażerów.

Ponadto TSUE wskazał, że jeśli nie ma rzeczywistego i faktycznego lub przewidywalnego zagrożenia terrorystycznego dla państwa członkowskiego, przepisy krajowe przewidujące przekazywanie i przetwarzanie danych PNR w odniesieniu do lotów wewnątrz UE są sprzeczne z prawem UE. Według trybunału przekazywanie i przetwarzanie danych PNR musi być ograniczone do lotów lub wzorców podróży bądź do niektórych portów lotniczych, w przypadku których istnieją powody uzasadniające przekazywanie i przetwarzanie danych PNR w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości. Wyznaczenie takich tras, wzorców podróży i portów lotniczych pozostaje w kompetencji państwa członkowskiego, które powinno regularnie dokonywać przeglądu istniejących lub potencjalnych zagrożeń terrorystycznych.

Podział lotów na wewnątrz- i pozaunijne

Wdrażając interpretację przedstawioną przez TSUE, nowelizacja ustawy o PNR rozróżnia loty wewnątrzunijne, czyli te obejmujące każdy rejs odbywający się wyłącznie pomiędzy państwami członkowskimi, bez postojów na terytorium państwa trzeciego, od lotów pozaunijnych, czyli tych realizowanych pomiędzy państwem trzecim a państwem UE, niezależnie od miejsca ewentualnego międzylądowania. Doprecyzowaniu uległa również definicja lotu PNR, która została poszerzona o loty wykonywane nieodpłatnie.

Wprowadzone rozróżnienie pomiędzy lotami wewnątrzunijnymi a pozaunijnymi pociągnęło za sobą także zmianę zasad przetwarzania danych PNR, uzależniając je od kategorii lotu. W przypadku lotów wewnątrzunijnych możliwość przetwarzania tych danych została ograniczona tylko do sytuacji przewidzianych w nowelizacji ustawy o PNR. Do takich przypadków zaliczono m.in. wprowadzenie na terytorium Polski stopnia alarmowego, objęcie lotu prawem przetwarzania danych PNR przez ministra właściwego do spraw wewnętrznych, a także sytuacje, w których przetwarzanie okaże się niezbędne ze względu na zagrożenie popełnienia przestępstwa.

Nowelizacja skraca również czas retencji danych PNR dotyczących lotów wewnątrzunijnych, z dotychczasowych pięciu do trzech lat od momentu ich zgromadzenia. Dla lotów pozaunijnych utrzymano dotychczasowy, pięcioletni okres przechowywania danych.

Abolicja dla przewoźników lotniczych

Na podstawie przepisów noweli przewoźnicy lotniczy zostali zwolnieni z odpowiedzialności karnoadministracyjnej za naruszenia związane z nieprzekazywaniem bądź nieprawidłowym przekazywaniem danych PNR pasażerów w okresie sprzed jej wejścia w życie (do 9 września 2025 r.), jeśli został spełniony któryś z następujących warunków:

  • przewoźnik w terminie trzech miesięcy od wejścia w życie nowelizacji dostosował się do wymogów przekazywania danych PNR lub
  • w ciągu roku poprzedzającego wejście w życie ustawy nie obsługiwał żadnych lotów PNR, lub
  • naruszenie dotyczyło lotu wewnątrzunijnego.

W takich przypadkach nie tylko nie będą wszczynane nowe postępowania, ale również wszystkie już toczące się sprawy administracyjne, sądowoadministracyjne (przed wojewódzkimi sądami administracyjnymi oraz Naczelnym Sądem Administracyjnym) oraz egzekucyjne zostaną umorzone z mocy prawa.

Ponadto dotychczasowe regulacje przewidywały możliwość obniżenia kary wtedy, gdy dane PNR zostały przekazane z niewielkim opóźnieniem. Nowelizacja wprowadza bardziej elastyczny, stopniowany system redukcji administracyjnych kar pieniężnych za spóźnione przekazanie danych, uzależniając ich wysokość od długości opóźnienia. Zgodnie z nowymi zasadami przewoźnik, który prześle dane w terminie do siedmiu dni od lądowania, zapłaci 50 proc. kary (czyli 10 tys. zł zamiast 20 tys. zł za każdy lot), natomiast przewoźnik, który dopełni obowiązku w ciągu 14 dni uiści jedynie 75 proc. nałożonej sankcji (czyli 15 tys. zł zamiast 20 tys. zł za każdy lot).

Konieczne dalsze zmiany

Nowelizacja ustawy o PNR na pewno przynosi ulgę dla linii lotniczych i poprawia działanie systemu przekazywania danych PNR Straży Granicznej, niemniej jednak ustawa będzie wymagała dalszej modyfikacji, choćby z uwagi na planowane zmiany w legislacji wspólnotowej. Już w grudniu 2022 r. Komisja Europejska przedstawiła bowiem propozycje nowych rozwiązań dotyczących danych pasażera przekazywanych przez linie lotnicze. Zakładają one centralizację zbierania danych (obecnie informacje gromadzone są niezależnie przez państwa członkowskie).

W proponowanym przez KE rozwiązaniu przewiduje się utworzenie routera, który stanowiłby pojedynczy punkt łączności między państwami członkowskimi a przewoźnikami lotniczymi. Za jego zaprojektowanie, opracowanie i bieżącą obsługę ma być odpowiedzialna Agencja ds. Zarządzania Operacyjnego Wielkoskalowymi Systemami Informatycznymi w Przestrzeni Wolności, Bezpieczeństwa i Sprawiedliwości (eu-LISA). Jak wskazuje Komisja, przekazywanie danych za pośrednictwem routera zmniejszy koszty ponoszone przez branżę lotniczą i zapewni Straży Granicznej szybki i bezproblemowy dostęp do danych pasażerów.

Aby zagwarantować zgodność proponowanych przepisów z odpowiednimi prawami podstawowymi zapisanymi w Karcie praw podstawowych UE, w szczególności z prawem do prywatności i prawem do ochrony danych osobowych, dane pasażerów lotów wewnątrzunijnych będą przekazywane służbom granicznym wyłącznie w przypadku lotów, które zostały wybrane w oparciu o ocenę przeprowadzoną przez państwo członkowskie, zgodnie z wymogami określonymi przez TSUE we wspomnianym wyroku. Dodatkowo, jakkolwiek uelastyczniono system wymierzania kar, to wciąż mają one charakter sztywny, co nie pozwala organom na indywidualną decyzyjność w zakresie ich wysokości i na dopasowanie jej do skali naruszenia. Rozwiązanie takie gwarantują przepisy kodeksu postępowania administracyjnego, które jak na razie pozostają wyłączone przepisami ustawy o PNR. ©℗