A skoro znów zaczęły się wakacje i ludzie znów zaczną fruwać tu i tam, dziś czas na kilka zdań o tym, czy polskie władze mogą żądać — z powołaniem się na zagrożenie terrorystyczne — udostępniania „jak leci” wszystkich danych pasażerów latających samolotami także do innych państw UE? Czy jednak przepisy nakazujące przekazanie danych PNR pasażera dotyczą tylko lotów pozaunijnych, a lot wewnątrzunijny może być im poddany w konkretnych przypadkach? (wyrok NSA z 12 czerwca 2025 r., II GSK 2333/24).
opis stanu faktycznego:
- orzeczenie odnosi się do nałożonej przez Straż Graniczną na przewoźnika lotniczego kary pieniężnej (40 tys. zł) za nieprzekazanie danych PNR pasażera lotu, który miał start w Polsce, a lądowanie w jednym z państw UE;
- (definicje: dane PNR (Passenger Name Record) to dane dotyczące przelotu pasażera, w tym jego dane osobowe; lot PNR to lot pasażerski z przekroczeniem granicy państwowej, a start albo lądowanie statku powietrznego następuje na terytorium Polski; JIP to Krajowa Jednostka do spraw Informacji o Pasażerach);
- w toku postępowania przewoźnik podkreślał, iż jego usługi ograniczają się do zarządzania i eksploatacji samolotów, zaś w tym przypadku chodziło o lot czarterowy na rzecz klienta zewnętrznego;
- skoro więc lot organizował klient (prowadził rezerwacje, sprzedawał bilety), to na nim spoczywały obowiązki w zakresie udostępnienia danych PNR — bo jako właściciel samolotu i „techniczny” wykonawca usługi nie miał dostępu do danych pasażerów, a zatem nie mógł ich przekazać odpowiednim służbom (por. „Czy właściciel samolotu odpowiada za przekazanie danych pasażera wylatującego za granicę — lotem czarterowym?”);
z ustawy o przetwarzaniu danych dotyczących przelotu pasażera
art. 5 ust. 1. Przewoźnik lotniczy, który organizuje lot PNR, przekazuje do JIP dane PNR dotyczące pasażerów tego lotu, spośród kategorii danych PNR, które gromadzi w trakcie prowadzonej przez siebie działalności w celu dokonania rezerwacji lub realizacji przewozu lotniczego.
art. 6 ust. 1. Dane PNR są przekazywane przez przewoźników lotniczych do JIP w następujących terminach:
1) od 48 do 24 godzin przed planowanym rozpoczęciem lotu PNR oraz
2) niezwłocznie po zakończeniu odprawy biletowo-bagażowej i wejściu pasażerów na pokład statku powietrznego, kiedy nie mogą już go opuścić przed jego startem, a inni pasażerowie nie mogą wejść na pokład.
- co więcej skoro lot miał charakter wewnątrzunijny, to dyrektywa PNR może mieć zastosowanie, acz w ściśle ograniczonym zakresie, tj. w przypadku stwierdzenia rzeczywistego i aktualnego lub przewidywalnego zagrożenia terrorystycznego, lub też w odniesieniu do konkretnie wytypowanych tras, portów lub schematów podróży (por. wyrok TSUE z 21 czerwca 2022 r., C‑817/19);
orzeczenie WSA:
- odnosząc się do skargi na decyzję WSA uznał, że obowiązek przekazywania danych PNR dotyczy wszystkich przewoźników lotniczych, niezależnie od tego kto przyjmuje rezerwacje na przelot lub sprzedaje bilety;
- skoro więc aeroplan przekroczył granicę Polski, to na przewoźniku realizującym lot czarterowy spoczywały określone powinności, toteż organ miał prawo nałożyć stosowną karę;
- nie ma też wątpliwości, że chociaż lot miał charakter wewnątrzunijny, należało doń stosować przepisy ustawy PNR — a to dlatego, że w tamtym czasie w Polsce istniało istotne zagrożenie terrorystyczne, w związku z czym obowiązywał drugi stopień alarmowy BRAVO i trzeci stopień CHARLIE-CRP;
- co oznacza, że decyzja o ukaraniu przewoźnika, który nie przekazał danych PNR, była prawidłowa (wyrok WSA w Gliwicach z 24 kwietnia 2024 r., III SA/Gl 1048/23);
z dyrektywy 2016/681 w/s wykorzystywania danych dotyczących przelotu pasażera (danych PNR) w celu zapobiegania przestępstwom terrorystycznym i poważnej przestępczości, ich wykrywania, prowadzenia postępowań przygotowawczych w ich sprawie i ich ścigania
art. 1 ust. 1 lit. a) Niniejsza dyrektywa określa:
a) przekazywanie przez przewoźników lotniczych danych dotyczących przelotu pasażera (zwanych dalej „danymi PNR”), które dotyczą pasażerów lotów pozaunijnych;
art. 2 ust. 1Jeżeli państwo członkowskie podejmie decyzję o stosowaniu niniejszej dyrektywy do lotów wewnątrzunijnych, powiadamia o tym Komisję na piśmie. Państwo członkowskie może złożyć lub cofnąć takie powiadomienie w każdym czasie. Komisja publikuje takie powiadomienia oraz wszelkie ich cofnięcia w Dzienniku Urzędowym Unii Europejskiej.
orzeczenie Naczelnego Sądu Administracyjnego:
- odnosząc się do skargi kasacyjnej przewoźnika NSA przypomniał, że co do zasady przepisy nakazujące przekazywanie danych PNR mają zastosowanie wobec lotów pozaunijnych;
- owszem, istnieje możliwość rozciągnięcia działania dyrektywy PNR na określone loty wewnątrzunijne, ze względu na określone zagrożenie dla bezpieczeństwa, jednakże nie jest dopuszczalne nałożenie na przewoźników obowiązku przekazywania danych pasażerów w odniesieniu do wszystkich lotów, bez ograniczeń — podstawą rozszerzenia zakresu stosowania przepisów zawsze musi być realizacja celów ustawy, tj. sprawdzenie pasażerów w celu wyłapania terrorystów lub osób parających się najcięższą przestępczością;
- nie usprawiedliwia to przekazywania danych dotyczących wszystkich lotów — zamiast tego w takim przypadku obowiązkiem władz publicznych jest
wyselekcjonowanie lotów wewnątrzunijnych lub operacji przewozu innymi środkami wewnątrz Unii, w odniesieniu do których istnieją takie wskazania, i regularne dokonywanie przeglądu takiego stosowania w zależności od ewolucji przesłanek, które uzasadniły ich wyselekcjonowanie, tak aby zapewnić, by stosowanie tego systemu do tych lotów lub innych operacji przewozu było zawsze ograniczone do tego, co ściśle niezbędne
- takiego wymogu nie spełnia powołanie się na wprowadzenie któregoś ze stopni zagrożenia terrorystycznego, ponieważ taki zabieg nie odnosi się do rzeczywistego lub przewidywalnego niebezpieczeństwa;
- zaś wykładnia pozwalająca na utworzenie systemu ciągłego, nieukierunkowanego i systematycznego nadzoru, zakładającego zautomatyzowane przetwarzanie danych osobowych wszystkich osób korzystających z usług transportu lotniczego jest sprzeczna z prawem do prywatności oraz unijną swobodą przemieszczania się.
Stwierdzając, iż kara została nałożona w związku z niezastosowaniem się do niedopuszczalnego — generalnego i niezróżnicowanego — wymogu przekazywania danych PNR pasażerów podróżujących w obrębie Unii Europejskiej, Naczelny Sąd Administracyjny uchylił zaskarżony wyrok oraz decyzje Straży Granicznej.
Zamiast komentarza: takich orzeczeń jest niezmiernie mało, co oznacza, że forsowana przez SG wykładnia się przyjęła — a przewoźnicy latający w UE godzą się na przekazywanie danych swoich pasażerów „jak leci”.