Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 20.06.2018
Naslov: Zbiranje podatkov o letalskih potnikih
Številka: 0712-3/2018/755
Vsebina: Policijski postopki
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje glede zbiranja podatkov o letalskih potnikih. Zanima vas, ali je nov postopek zbiranja podatkov ob prijavi na let letalskega prevoznika skladen z našo in evropsko zakonodajo. Navajate, da letalski prevoznik namreč sedaj nekaj mesecev ob vsaki prijavi na let zbira podatke, ki sicer za potovanja po Evropi niso običajni. Menite, da je zbiranje podatkov Avanced Passenger Information (API) namesto osnovnih Passenger Name Record (PNR) zahtevano le za potovanja izven Schengenskega območja.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

 

IP uvodno pojasnjuje, da so podatki PNR tisti podatki, ki jih potniki posredujejo letalskim prevoznikom ob rezervaciji oziroma nakupu letalske karte, podatki API pa predstavljajo tiste podatke, ki jih potniki posredujejo ob prijavi na let. V zvezi z ureditvijo tega področja je v okviru priprave zakonodaje številne pripombe podajal tudi IP (https://www.ip-rs.si/novice/ip-opozarja-na-nevarnost-prehitrega-in-ne-dovolj-premisljenega-sprejemanja-novih-policijsk-1013/), žal v tem delu neuspešno. Tudi na pobudo IP je Varuh človekovih pravic zato v tem delu podal zahtevo za oceno ustavnosti, o kateri pa, kolikor smo seznanjeni, Ustavno sodišče RS še ni odločilo (http://www.varuh-rs.si/medijsko-sredisce/sporocila-za-javnosti/novice/detajl/varuh-vlozil-zahtevo-za-oceno-ustavnosti-novih-112a-cetrtega-odstavka-113-in-114a-clena-zakon/?cHash=9a1d80334f523c790bf7b86732f19d30). V nadaljevanju podajamo pojasnila glede aktualne zakonske ureditve te tematike v Sloveniji.

 

Prenos predhodnih podatkov o potnikih (podatki API) pristojnim nacionalnim organom s strani letalskih prevoznikov za namen izboljšanja mejnih kontrol in boja proti nezakonitemu priseljevanju je bil urejen že z Direktivo Sveta 2004/82/ES z dne 29. aprila 2004 o dolžnosti prevoznikov, da posredujejo podatke o potnikih. Implementacijo te direktive predstavljajo določbe Zakona o letalstvu (Uradni list RS, št. 81/10 – uradno prečiščeno besedilo in 46/16, v nadaljevanju ZLet), ki v 84.a členu določa, da morajo prevozniki v letalstvu na zahtevo organov, pristojnih za izvajanje mejne kontrole oseb na zunanjih mejah, do konca prijave potnikov na let sporočiti podatke o potnikih, ki jih bodo prepeljali na določeni mejni prehod, preko katerega bodo te osebe vstopile na ozemlje države članice Evropske unije. Sporočijo se naslednji podatki o potnikih: številka in vrsta uporabljene potne listine, državljanstvo, osebno ime oziroma celotna imena, datum rojstva, mejni prehod vstopa na ozemlje držav članic, oznaka prevoza, čas odhoda in prihoda prevoza, skupno število potnikov, ki se prevažajo, ter začetno mesto vkrcanja. Določba 84.b člena ZLet ureja način obdelave teh podatkov. Navedene določbe ZLet so tako že od leta 2006 zavezovale letalske prevoznike, da upravičencem posredujejo podatke oseb, ki jih prepeljejo iz tretjih držav na t. i. schengensko območje.

 

Kot odziv na teroristične napade je bila leta 2016 sprejeta Direktiva (EU) 2016/681 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o uporabi podatkov iz evidence podatkov o potnikih (PNR) za preprečevanje, odkrivanje, preiskovanje in pregon terorističnih in hudih kaznivih dejanj (t. i. PNR direktiva). Ta direktiva ureja posredovanje podatkov PNR o potnikih na mednarodnih letih med letalskimi družbami in državami članicami ter obdelavo teh podatkov s strani pristojnih organov. Letalski prevozniki morajo organom držav članic zagotavljati podatke PNR za lete v ali iz EU, pri čemer direktiva  državam članicam dopušča, a jih ne obvezuje, da zbirajo podatke tudi za lete znotraj EU. Vsaka država članica mora vzpostaviti t. i. enoto za informacije o potnikih, ki bo prejemala podatke PNR od letalskih prevoznikov.

 

Direktiva v recitalu 9 pojasnjuje tudi, da »nekateri letalski prevozniki hranijo podatke API, ki jih zbirajo, kot del podatkov PNR, drugi pa ne. Uporaba podatkov PNR skupaj s podatki API ima dodano vrednost, saj je državam članicam v pomoč pri preverjanju identitete posameznika, s čimer se povečuje vrednost tega rezultata za namen preprečevanja, odkrivanja in preiskovanja kaznivih dejanj ter zmanjšuje tveganje, da se preverjajo in preiskujejo nedolžni ljudje. Zato je pomembno zagotoviti, da letalski prevozniki, kadar zbirajo podatke API, te posredujejo, ne glede na to, ali podatke API hranijo z drugačnimi tehničnimi sredstvi kot ostale podatke PNR.« Upoštevajoč navedeno Direktiva PNR določa, da če letalski prevozniki zberejo informacije o potnikih API, vendar teh informacij ne hranijo z enakimi tehničnimi sredstvi kot druge podatke PNR, države članice z ustreznimi ukrepi zagotovijo, da letalski prevozniki tudi te informacije posredujejo enoti za informacije o potnikih držav članic. V primeru takšnega prenosa se tudi za zadevne podatke API uporabljajo vse določbe te direktive.

 

PNR direktiva je bila v nacionalno zakonodajo prenesena z Zakonom o spremembah in dopolnitvah Zakona o nalogah in pooblastilih policije (Uradni list RS, št. 10/17; ZNPPol-A). Zbiranje podatkov o potnikih ureja 112.a člen Zakona o nalogah in pooblastilih policije (Uradni list RS, št. 15/13, 23/15 – popr. in 10/17, v nadaljevanju ZNPPol), skladno s katerim zbira policija poleg podatkov iz prvega odstavka 112. člena tega zakona tudi podatke o potnikih za vse komercialne, redne in posebne lete od letalskih prevoznikov, ki svojo prevozno dejavnost opravljajo iz tretjih držav ali iz držav članic EU na ozemlje Republike Slovenije in v obratni smeri oziroma z vmesnim postankom na ozemlju Republike Slovenije. Na podlagi 123. člena in 125. člena ZNPPol policija vodi in vzdržuje med drugim:

 

  • evidenco oseb, prijavljenih na let

 

Ta evidenca vsebuje naslednje podatke: podatki o letu, načrtovani datum, ura ter kraj vzleta in pristanka letala, število vseh potnikov na letalu, status osebe na letalu, vrsta, številka, nacionalnost in datum poteka veljavnosti potovalnega dokumenta, kraj vkrcanja in tranzita potnika, mejni prehod vstopa potnika na območje schengenskega prostora, podatki o sedežu in prtljagi potnika ter identifikacijska številka potnika iz informacijskega sistema letalskega prevoznika. Gre za t. i. API podatke.

 

ter

 

  • evidenco oseb iz sistema rezervacij letalskih kart.

 

Ta evidenca pa vsebuje naslednje podatke: podatki v zvezi z letom, datum rezervacije, datum in kraj izdaje ter drugi podatki o letalski karti, datum nameravanega potovanja, vzdevek ali lažno ime, naslovi in drugi kontaktni podatki iz rezervacije, podatki o plačilu letalske karte, vključno z naslovom za pošiljanje računa, celoten načrt potovanja, informacije o potnikih, ki pogosto letijo, podatki o potovalni agenciji oziroma drugem pravnem subjektu, pri kateri je bila opravljena rezervacija letalske karte, potovalni status potnika, številka sedeža, podatki o osebni prtljagi potnika, druge morebitne posebnosti, povezane s potovanjem potnika, število ter osebna imena drugih potnikov, povezanih z isto rezervacijo, vse naknadne spremembe podatkov in identifikacijska številka potnika iz informacijskega sistema letalskega prevoznika. Gre za t.i. PNR podatke.

 

Navedene določbe ZNPPol torej vsebinsko razširjajo že prej obstoječe policijsko pooblastilo za obdelavo in uporabo podatkov API. Poleg širšega nabora podatkovnih elementov in širitve namena njihove uporabe pa se na njihovi podlagi širi tudi dopustnost zbiranja teh podatkov na notranjih letih v EU, in sicer od 14. marca 2018 dalje.

 

Iz obrazloženega sledi, da je zbiranje osebnih podatkov PNR in API o letalskih potnikih na zunanjih ter tudi na notranjih EU letih s strani letalskih prevoznikov in nadaljnja obdelava teh podatkov s strani policije zakonsko urejena, do morebitne drugačne odločitve  Ustavnega sodišča RS.

 

Lep pozdrav,

 

                                                                                                    Mojca Prelesnik, univ. dipl. prav.,                                                

                                                                                                             informacijska pooblaščenka

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov